En mi archivo de configuración de spring security he puesto las siguientes cabeceras para que no se pueda introducir la web en un iframe.
<http auto-config="true">
<headers>
<frame-options policy="DENY"/>
</headers>
</http>
Después de introducir esto en mi archivo de configuración, sigue permitiéndome entrar desde un iframe.
Mi versión de spring-security es la 3.2. Gracias.