什么点击劫持？最常见的是恶意网站使用 标签把我方的一些含有重要信息类如交易的网页嵌入进去，然后把 iframe 设置透明，用定位的手段的把一些引诱用户在恶意网页上点击。这样用户不知不觉中就进行了某些不安全的操作。

有两种方式可以防范。

1.使用 JS 防范

判断顶层视口的域名是不是和本页面的域名一致，如果不一致就让恶意网页自动跳转到我方的网页。当然你还可以恶心一下这些恶意网站，比如说弹窗十几次，或者跳转到某些404页面。

if (top.location.hostname !== self.location.hostname) {

    alert("您正在访问不安全的页面，即将跳转到安全页面！");

    top.location.href = self.location.href;

}

2.使用 HTTP 头防范

通过配置 nginx 发送 X-Frame-Options 响应头，这样浏览器就会阻止嵌入网页的渲染。更详细的可以查阅MDN上关于X-Frame-Options 响应头的内容。

add_header X-Frame-Options SAMEORIGIN;

linux系统下nginx安装目录和nginx.conf配置文件目录

1、查看nginx安装目录

输入命令

# ps  -ef | grep nginx

返回结果包含安装目录

root    26529    1    0    Jan24    ?    00:00:00    nginx: master    process    /usr/sbin/nginx

2、查看nginx.conf配置文件目录

输入命令

# nginx -t

返回结果包含配置文件目录

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok

nginx: configuration file /etc/nginx/nginx.conf test is successful