Chặn Clickjacking và postMessage bằng X-Frame-Options, CSP frame-ancestors và phép kiểm tra event.origin ở bên nhận.