django-设置X-Frame-Options响应头防止点击劫持攻击

一、点击劫持

当恶意网站欺骗用户点击另一个网站的隐藏元素时，就会发生这种类型的攻击，该元素已被加载到一个隐藏的框架或 iframe 中。

二、点击劫持的例子

假设一家在线商店有一个页面，登录的用户可以点击“立即购买”来购买商品。用户为了方便，选择了保持登录商店。攻击者网站可能会在自己的一个页面上创建一个“I Like Ponies”按钮，并在一个透明的 iframe 中加载商店的页面，使“立即购买”按钮无形中覆盖在“I Like Ponies”按钮上。如果用户访问攻击者的网站，点击“I Like Ponies”将导致无意中点击“立即购买”按钮，并在不知情的情况下购买该商品。

三、防止点击劫持

现代浏览器支持X-Frame-OptionsHTTP 头，它表明是否允许在框架或 iframe 中加载资源。

X-Frame-Options参数值：

DENY：不能被嵌入到任何iframe或者frame中。
SAMEORIGIN：页面只能被本站页面嵌入到iframe或者frame中
ALLOW-FROM uri：只能被嵌入到指定域名的框架中

Django 提供了一些方法来在你的网站的响应中包含这个头：

一个在所有响应中设置头的中间件。
一组可用于覆盖中间件或仅为某些视图设置头的视图装饰器。

X-Frame-OptionsHTTP 头只有在响应中还没有出现的情况下，才会被中间件或视图装饰者设置。

四、在django中配置防止点击劫持

1、为所有的响应设置

要为你的网站的所有响应设置相同的 X-Frame-Options 值，把 'django.middleware.clickjacking.XFrameOptionsMiddleware' 配置到配置文件中的MIDDLEWARE中间件中

默认情况下，该中间件将为每个传出的响应设置 X-Frame-Options头为DENY。如果你想为这个头设置任何其他的值，可以在配置文件中设置其他的值

X_FRAME_OPTIONS = 'SAMEORIGIN'

在使用中间件时，有些视图可能 不希望 设置 X-Frame-Options头。对于这些情况，你可以使用一个视图装饰器，告诉中间件不要设置头：

from django.shortcuts import render

# Create your views here.
from django.views import View

from django.views.decorators.clickjacking import xframe_options_exempt


@xframe_options_exempt
def SessionJackView(request):
    return render(request, 'sessionjack.html')

测试：

后端返回的页面

前端嵌入页面

设置为

X_FRAME_OPTIONS = 'SAMEORIGIN'

设置为

X_FRAME_OPTIONS = 'ALLOW-FROM uri'

使用xframe_options_exempt装饰器

装饰器和中间件一起使用,装饰器会覆盖掉中间件以及自己配置的参数值，并且使用该装饰器后.

@xframe_options_exempt
def SessionJackView(request):
    return render(request, 'sessionjack.html')

2、为每个视图设置 `X-Frame-Options`

要在每个视图上设置 X-Frame-Options 头，Django 还提供了这些装饰器：

五、 X-Frame-Options的源码解析

django.middleware.clickjacking.XFrameOptionsMiddleware