Office js 使用Office.js防止点击劫持

文档位于 列出了通过让用户在执行潜在危险操作之前进行确认来帮助防止点击劫持的一系列方法

---

我想知道在调用

Office.initialize

之前，在页面上不呈现任何UI是否也同样安全？或者，攻击者是否有办法在其页面上构建我的加载项，并以某种方式将Office SDK替换为恶意版本？

是的，恶意攻击者可能会尝试模拟加载项运行时。最好确保用户确认最佳实践中描述的敏感操作。如果外接程序要求用户登录，那么这是获取用户输入的一种方法，有助于减轻风险

谢谢你的回答！这是有道理的，我们确保只有在用户通过弹出窗口确认操作后才能执行潜在的危险操作。