Django点击劫持保护[编辑 | 编辑源代码]

点击劫持（Clickjacking）是一种恶意攻击技术，攻击者通过透明或欺骗性的iframe层覆盖在合法网页上，诱使用户在不知情的情况下点击隐藏的按钮或链接。Django提供了内置的防护机制来防止此类攻击。

什么是点击劫持？[编辑 | 编辑源代码]

点击劫持（又称UI覆盖攻击）的工作原理如下： 1. 攻击者创建一个恶意网页，其中包含一个透明的iframe，加载目标网站（如银行或社交网络）。 2. 用户看到的是攻击者设计的诱骗界面，但实际点击的是iframe中隐藏的按钮（例如“转账”或“删除账户”）。 3. 由于用户已登录目标网站，操作会被执行，导致数据泄露或未经授权的操作。

Django的防护机制[编辑 | 编辑源代码]

Django通过中间件`django.middleware.clickjacking.XFrameOptionsMiddleware`提供防护。该中间件会设置HTTP响应头`X-Frame-Options`，限制页面能否被嵌入到iframe中。

启用防护[编辑 | 编辑源代码]

在`settings.py`中启用中间件：

  
MIDDLEWARE = [  
    # ...  
    'django.middleware.clickjacking.XFrameOptionsMiddleware',  
    # ...  
]

可选配置[编辑 | 编辑源代码]

`X-Frame-Options`支持以下值：

`DENY`：完全禁止嵌入（默认值）。
`SAMEORIGIN`：仅允许同源网站嵌入。
`ALLOW-FROM uri`：允许指定URI嵌入（部分浏览器已废弃此选项）。

在`settings.py`中自定义：

  
X_FRAME_OPTIONS = 'SAMEORIGIN'  # 仅允许同域名iframe

代码示例[编辑 | 编辑源代码]

视图级控制[编辑 | 编辑源代码]

如果需要为特定视图禁用防护，可使用`@xframe_options_exempt`装饰器：

  
from django.views.decorators.clickjacking import xframe_options_exempt  

@xframe_options_exempt  
def public_widget(request):  
    return HttpResponse("此内容允许被嵌入到任何iframe中")

或强制启用防护：

  
from django.views.decorators.clickjacking import xframe_options_deny  

@xframe_options_deny  
def sensitive_action(request):  
    return HttpResponse("此页面禁止被嵌入")