防止 Acrobat Sign 嵌入到第三方网站中

使用基于 API 的框架控件保护您的嵌入式签名体验免受点击劫持威胁。

点击劫持是一种恶意攻击手段：恶意网站诱导用户点击与其认知不符的内容，从而可能劫持操作，例如协议审批或签署。

此点击劫持防御功能通过控制 Acrobat Sign 页面嵌入 iframe 的时间和方式来防止这种有害活动，确保只有受信任的域在严格受控条件下才能执行此操作。

激活点击劫持防御功能可以保护用户，同时允许已批准的工作流顺利运行。

配置

可用性：

• Acrobat Standard 和 Acrobat Pro：不可配置
• Acrobat Sign Solutions：支持；默认为禁用状态
• Acrobat Sign for Government：支持；默认启用

配置范围：

管理员可以在帐户级别和组级别启用此功能。

要访问此功能，请通过管理员的配置菜单导航到安全设置 > 防止 Adobe Acrobat Sign 嵌入第三方网站

使用方式

启用点击劫持防御后，Acrobat Sign 仅在以下情况下允许 iframe 嵌入：

• 集成使用 REST API v5 或更高版本
• 在 API 请求中将 autoLoginUser 标志设置为 true
• 在请求中通过 commonViewConfiguration 对象提供 frameParent 域

最佳实践

建议所有客户使用此功能，尤其是那些没有在 iframe 中嵌入 Acrobat Sign 页面的客户。

如果您在任何外部应用程序中嵌入 Acrobat Sign，此功能可在保障安全性的同时保持集成工作流的正常运行。例如：

• 在自定义 Web 应用程序中嵌入签名或管理视图。
• 使用自动登录流程在您的域内获得流畅的签名者体验。
• 确保用户只能在您授权的 iframe 上下文中与文档交互。

客户只有在其集成未在 API 调用中定义 frameParent 参数时，才应禁用此功能。

需要了解的事项

• 点击劫持防御功能适用于网页的所有视图，但在 SOAP 和旧版 REST 集成中，Acrobat Sign 无法被嵌入。
• 不同浏览器的支持情况各异：某些旧版浏览器（如 Internet Explorer）不支持 CSP frame ancestors。X-Frame 选项也会强制执行。

故障诊断

如果在启用点击劫持防御功能后无法显示 iframe：

• 确保您使用的是 REST API v5 或更高版本。
• 确保您的 /views API 调用包含 frameParent 参数。