Django 出现 frame because it set X-Frame-Options to deny 错误

一、背景

使用 django3 进行开发时,由于项目前端页面使用iframe框架,浏览器错误提示信息如下

Refused to display 'http://127.0.0.1:8000/' in a frame because it set 'X-Frame-Options' to 'deny'.

 根据提示信息发现是因为 X-Frame-Options=deny 导致的。

 

二、X-Frame-Options

1 X-Frame-Options是什么

The X-Frame-Options HTTP 响应头是用来给浏览器 指示允许一个页面 可否在 <frame><iframe>,<embed> 或者 <object>中展现的标记。站点可以通过确保网站没有被嵌入到别人的站点里面,从而避免点击劫持(clickjacking)攻击。

2 语法

X-Frame-Options 有三个值:

  • DENY :表示该页面不允许在 frame 中展示,即便是在相同域名的页面中嵌套也不允许

  • SAMEORIGIN :表示该页面可以在相同域名页面的 frame 中展示

  • ALLOW-FROM uri :表示该页面可以在指定来源的 frame 中展示

根据上述 X-Frame-Options的三个值描述,只要修改django的X-Frame-Options为SAMEORIGIN ,那么相同域名页面就可以使用frame中展示。

3 功能

  • 点击劫持保护

clickjacking中间件和装饰器提供了易于使用的保护,以防止clickjacking。当恶意站点诱使用户单击他们已加载到隐藏框架或iframe中的另一个站点的隐藏元素时,会发生这种类型的攻击。

  • 防止点击劫持

现代浏览器采用X-Frame-Options HTTP标头,该标头指示是否允许在框架或iframe中加载资源。如果响应包含标头值为的标头,SAMEORIGIN则浏览器将仅在请求源自同一站点时才将资源加载到框架中。如果将标头设置为,DENY则无论哪个站点发出请求,浏览器都将阻止资源加载到框架中。

 

三、在Django 中设置

在django3.0 版本中,默认开启点击劫持保护。Django 提供了几种在您的网站响应中包含此标头的方法:

  • 在所有响应中设置标头的中间件。

  • 一组视图装饰器,可用于覆盖中间件或仅为某些视图设置标头。

如果 X-Frame-OptionsHTTP 头尚未在响应中出现,则仅由中间件或视图装饰器设置。

Django默认开启点击劫持保护

设置X-Frame-Options为所有响应

要X-Frame-Options为您站点中的所有响应设置相同的值,请在 setting.py 中 MIDDLEWARE 输入 'django.middleware.clickjacking.XFrameOptionsMiddleware'

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
]

在生成的设置文件中启用了该中间件 startproject。

默认情况下,中间件将为每个outgoing 将X-Frame-Options标头设置 DENYHttpResponse

 

1 设置允许同域名网站使用frme展示

默认情况下,中间件将为每个出站的HttpResponseX-Frame-Options头设置为DENY

如果您希望此标头的任何其他值,请设置X_FRAME_OPTIONS设置

### settings.py
X_FRAME_OPTIONS = 'SAMEORIGIN'

 

2 指定视图函数不设置 X-Frame-Options

from django.http import HttpResponse
from django.views.decorators.clickjacking import xframe_options_exempt

@xframe_options_exempt
def ok_to_load_in_a_frame(request):
    return HttpResponse("This page is safe to load in a frame on any site.")

 

3 指定视图函数设置 X-Frame-Options

from django.http import HttpResponse
from django.views.decorators.clickjacking import xframe_options_deny
from django.views.decorators.clickjacking import xframe_options_sameorigin

@xframe_options_deny
def view_one(request):
    return HttpResponse("I won't display in any frame!")

@xframe_options_sameorigin
def view_two(request):
    return HttpResponse("Display in a frame if it's from the same origin as me.")

 

本站文章如无特殊说明,均为本站原创,如若转载,请注明出处:Django 出现 frame because it set X-Frame-Options to deny 错误 - Python技术站

(0)
上一篇 2023年4月2日 下午4:49
下一篇 2023年4月2日

相关文章

  • Django ORM 实现数据的多表 增删改查

    一、创建模型和表 假定下面这些概念、字段与关系: 作者模型:一个作者有姓名和年龄。 作者详细模型:把作者的详情放到详情表,手机号,家庭住址信息。 作者详情模型 和 作者模型之间是一对一的关系(one-to-one)。 出版社模型:出版社有名称,所在城市以及email。 书籍模型: 书籍有书名和价格、出版日期。 一本书可能会有多个作者,一个作者也可以写多本书,…

    Python开发 2023年4月2日
    00
  • Python Web开发主流框架

    Web 开发是Python 语言应用领域的重要部分,也是工作岗位最多的领域。如果你对基于Python的Web 开发有兴趣,正打算使用Python 做Web 开发,或者已经是一个Web 开发者有工作需要,要做自动化运维、数据的图形化展示等,那么学习一门基于Python的Web 开发框架是必修课。 Python作为当前最火爆最热门,也是最主要的Web 开发语言之…

    2023年4月2日
    00
  • Django ORM 实现数据的单表 增删改查

    一、配置环境 1 Django 连接数据库(MySQL) DATABASES = { ‘default’: { ‘ENGINE’: ‘django.db.backends.mysql’, ‘NAME’: ‘xyz’, ‘USER’:’root’, ‘PASSWORD’:’root’, ‘HOST’:’IP地址’, ‘PORT’:3306, ‘CHARSET’…

    Python开发 2023年4月2日
    00
  • Django 聚合查询 分组查询 F与Q查询

    一、聚合查询 需要导入模块:from django.db.models import Max, Min, Sum, Count, Avg 关键语法:aggregate(聚合结果别名 = 聚合函数(参数)) 查询结果:使用聚合函数,从每一个组中获取结果:字典 注意点: 1 聚合函数必须在分组之后才能使用 2 没有分组,即默认整体就是一组 3 查询结果为 普通字…

    Python开发 2023年4月2日
    00
  • Django 连接数据库 MySQL

    一、Django 连接 MySQL 修改 settings.py 文件 # 默认用的是sqlite3 # Database # https://docs.djangoproject.com/en/4.1/ref/settings/#databases # DATABASES = { # ‘default’: { # ‘ENGINE’: ‘django.db.…

    2023年4月2日
    00
  • Django 静态文件配置

    一、静态文件配置 在 settings.py 文件的最后添加 # settings.py # Static files (CSS, JavaScript, Images) # https://docs.djangoproject.com/en/4.1/howto/static-files/ # STATIC SETTINGS STATIC_URL = ‘/s…

    2023年4月2日
    00
  • Django 之模版层

    一、模板简介 将前端页面和Python 的代码分离是一种的开发模式。 为此 Django专门提供了模板系统 (Template System,即模板层)来实现这种模式。 Django 的模板 = HTML代码 + 模板语法 存放于 templates 目录下的 html文件称之为模板文件,要返回的 html页面中的数据是动态的,那么必须在 html页面中嵌入…

    Python开发 2023年4月2日
    00
  • Django 之ModelAdmin对象(补)

    一、后台管理系统配置 1 在该表对应的models类里面添加一个Meta类 class Meta: verbose_name_plural = ‘用户表’ ### 指定该表在admin后台的名字为: 用户表 # verbose_name = ‘用户表’ ### 末尾还是会自动加s   2 null=True,blank=True的区别 ### null=Tr…

    2023年4月2日
    00
合作推广
合作推广
分享本页
返回顶部