用途：本手册用于测试目标页面能否被第三方页面以 iframe 嵌入，从而判断是否可能存在点击劫持（UI redress）风险，重点检查 X-Frame-Options 与 CSP frame-ancestors 的配置。
主要能力与检测点：核对 X-Frame-Options（DENY、SAMEORIGIN、ALLOW-FROM 及其缺失）和 CSP frame-ancestors（'none'、'self'、指定来源及缺失）；现代浏览器中 CSP frame-ancestors 优先于 X-Frame-Options。可用基本 iframe 加载测试判断页面是否可被框入，并检查目标页面源码中的 frame-busting 脚本。
使用方式：提供透明 iframe 叠加诱饵页面的基础 PoC 模板、针对需二次确认动作的多步点击 PoC、以及利用 HTML5 拖放事件在 iframe 间转移数据的拖拽式攻击思路。绕过技巧包括用 sandbox="allow-forms allow-scripts"（不含 allow-top-navigation）阻止 frame-busting 脚本，以及利用 ALLOW-FROM 在 Chrome/Safari 不受支持而失效的情况，另提及双重框架思路。
适用场景：账户删除、邮箱或密码修改、管理员操作（加用户、改角色）、支付确认、OAuth 授权、关闭双因素认证、生成 API Key、配置 Webhook 等高价值单击动作。
限制：手册为攻击与测试思路集合，未提供具体工具版本、误报判定标准或修复方案；实际可利用性取决于浏览器行为与站点具体配置，测试须在授权范围内进行。文中未给出价格、平台依赖或其他未提及信息。