用途：用于审查任意带认证用户操作的Web应用的HTTP响应头，确认是否具备点击劫持（clickjacking）防护。若缺少框架嵌入保护，攻击者可将银行登录页等嵌入恶意站点的透明iframe，诱导用户点击不可见按钮，从而转账、改设置或泄露凭据。
主要能力与检查项：检查服务器是否发送X-Frame-Options头（DENY或SAMEORIGIN），或发送带frame-ancestors指令的Content-Security-Policy头。
必要用法：不需要被任何地方嵌入时，为所有响应添加X-Frame-Options: DENY；仅需同源合法嵌入时使用SAMEORIGIN。ALLOWFROM已过时且现代浏览器不支持，应改用CSP frame-ancestors；新站点建议优先使用Content-Security-Policy: frame-ancestors 'none'。两种头可共存，X-Frame-Options兼顾旧浏览器，frame-ancestors面向现代浏览器。
适用场景：安全审查、代码评审、服务器配置与表单及集成点检查，针对具体响应、Cookie或浏览器行为标记违规，并对照类生产环境实际响应验证。
限制：资料未提供框架专属实现细节、完整代码示例与具体服务器配置样例，需参见references/rule.md与规则页面。