這個問題實際上就是iframe sandbox 沙盒繞過，iframe通過sandbox屬性實現沙箱模式，允許js腳本執行，可直接引用第三方js文件來繞過。禁止iframe 里的javascript 執行 top.location = self.location。 也就是禁止了跳轉，繞過了反點擊劫持。
案例：
<iframe src='2.html' sandbox="allow-scripts allow-same-origin allow-popups">
父頁面：
<!DOCTYPE html>
<html>
<head>
<title>test</title>
</head>
<body>
<iframe src='2.html' sandbox="allow-scripts allow-same-origin allow-popups">
</body>
2.html
<!DOCTYPE html><html><head>
<script language="JavaScript">
//window.location.href="https://www.baidu.com";
//location.replace("https://www.baidu.com");
//location.assign("https://www.baidu.com");
alert(1);
</script>
</head><body>test</body>
火狐可以觸發xss
禁止iframe重定向讓父級頁面跳轉
<script language="JavaScript">
if (window != top)
top.location.href = location.href; </script>
//window.parent.location.href='https://xx.xx.xx.xx';
參考文章：https://www.cnblogs.com/afanti/p/9298415.htm