敏感审批页面必须被合作方嵌入时，如何区分合法框架集成、界面诱导和回调越权？

# 核心结论

敏感审批页面应默认禁止被任意站点嵌入。确有合作方集成需求时，需要分别解决三类问题：使用 Content-Security-Policy 的 frame-ancestors 精确限制哪些祖先来源可以嵌入页面；通过清晰展示合作方、审批对象和最终效果，并结合二次确认或重新认证，防止界面诱导；通过服务端对象级授权、一次性事务和预注册回调地址，防止审批或回调越权。合法框架来源、合法用户操作和合法回调是三个独立判断，不能相互替代。

旧环境可将 X-Frame-Options 作为兼容性补充，但复杂的多合作方允许关系应以 frame-ancestors 表达。允许列表应明确到协议和主机，避免宽泛通配符，并审查