理解攻击者如何用透明 iframe 诱导用户点击真实网站，并使用 frame-ancestors 和 X-Frame-Options 阻止嵌入。