공격 사이트가 투명 iframe 위에 유인 버튼을 겹쳐 사용자가 실제 서비스의 승인 버튼을 누르게 한다. 직접 대응은?

1. 1

   SameSite 쿠키만 설정하면 비인증 화면의 iframe 포함도 자동 차단된다.

2. 2

   CSRF 토큰만 확인하면 사용자의 실제 클릭을 가로채는 화면 중첩도 제거된다.

3. 3

   CSP의 frame-ancestors로 허용할 상위 출처를 제한하고 필요 시 X-Frame-Options를 함께 사용한다.

4. 4

   iframe의 투명도를 제한하되 신뢰하지 않은 상위 출처의 포함은 허용한다.