透過フレームによる意図しないボタン押下を誘発するクリックジャッキング対策

クリックジャッキング攻撃への有効な防御策は「HTTPレスポンスヘッダーにX-Frame-Optionsを設定する」です。 クリックジャッキング（Clickjacking）は、攻撃者が罠サイト上に標的サイト（SNSや決済サイト等）を透明化（不透明度0）したインラインフレーム（`<iframe>` 等）として重ねて配置し、利用者に一見無害なボタンをクリックさせると同時に背後の標的サイトの重要操作（送金、投稿、アカウント設定変更など）を意図せず実行させる攻撃手法です。 Webサーバ側で `X-Frame-Options: DENY` または `SAMEORIGIN` ヘッダ（あるいは Content-Security-Policy の `frame-ancestors` ディレクティブ）を出力し、自サイトが他サイトのフレーム内に読み込まれるのを禁止することで根本的に防ぐことができます。 `X-Content-Type-Options: nosniff` は、ブラウザによるContent-Typeの自動推測（MIMEスニッフィング）を無効化し、意図しないスクリプト実行を防ぐヘッダです。 HTMLタグのエスケープ処理（実体参照への置換）は、クロスサイトスクリプティング（XSS）を防ぐための対策です。 入力文字数の制限は、バッファオーバーフロー攻撃や過負荷を防ぐための入力バリデーションです。

Webサイトにおいて，クリックジャッキング攻撃の対策に該当するものはどれか。

出典令和3年度 春期 応用情報技術者試験 午前 問37
ア
HTTPレスポンスヘッダーにX-Content-Type-Optionsを設定する。
イ
HTTPレスポンスヘッダーにX-Frame-Optionsを設定する。
ウ
入力にHTMLタグが含まれていたら，HTMLタグとして解釈されないほかの文字列に置き換える。
エ
入力文字数が制限を超えているときは受け付けない。