Защита от кликджекинга

Настройка X-Frame-Options для всех ответов

Чтобы задать одно и то же значение X-Frame-Options для всех ответов вашего сайта, добавьте 'django.middleware.clickjacking.XFrameOptionsMiddleware' в MIDDLEWARE:

MIDDLEWARE = [
    ...,
    "django.middleware.clickjacking.XFrameOptionsMiddleware",
    ...,
]

Это промежуточное ПО включено в файл настроек, созданный командой startproject.

По умолчанию промежуточное ПО устанавливает заголовок X-Frame-Options в значение DENY для каждого исходящего HttpResponse. Если вы хотите задать для этого заголовка другое значение, установите параметр X_FRAME_OPTIONS:

X_FRAME_OPTIONS = "SAMEORIGIN"

При использовании промежуточного ПО могут быть представления, для которых вы не хотите задавать заголовок X-Frame-Options. В таких случаях можно использовать декоратор представления, указывающий промежуточному ПО не добавлять этот заголовок:

from django.http import HttpResponse
from django.views.decorators.clickjacking import xframe_options_exempt


@xframe_options_exempt
def ok_to_load_in_a_frame(request):
    return HttpResponse("This page is safe to load in a frame on any site.")

Настройка X-Frame-Options для отдельных представлений

Для настройки заголовка X-Frame-Options отдельно для каждого представления Django предоставляет следующие декораторы:

from django.http import HttpResponse
from django.views.decorators.clickjacking import xframe_options_deny
from django.views.decorators.clickjacking import xframe_options_sameorigin


@xframe_options_deny
def view_one(request):
    return HttpResponse("I won't display in any frame!")


@xframe_options_sameorigin
def view_two(request):
    return HttpResponse("Display in a frame if it's from the same origin as me.")

Обратите внимание, что декораторы можно использовать вместе с промежуточным ПО. При использовании декоратора его настройки имеют приоритет над настройками промежуточного ПО.