Middleware clickjacking dan penghias menyediakan perlindungan mudah-digunakan terhadap clickjacking. Serangan jenis ini muncul ketika sebuah situs berbahaya memperdaya pengguna mengklik pada unsur tersembunyi dari situ selain yang mereka telah muat di kerangka tersembunyi atau iframe.
\nAndaikan sebuah toko daring mempunyai sebuah halaman dimana pengguna masuk dapat mengklik "Buy Now" untuk membeli sebuah barang. Seorang pengguna telah memilih untuk tetap masuk kedalam toko sepanjang waktu untuk kenyamanan. Seorang penyerang situs mungkin membuat sebuah tombol "I Like Ponies" pada satu dari halaman mereka sendiri, dan memuat halaman toko di iframe transparan sehingga tombol "Buy Now" tidak terlihat melapisi pada tombol "I Like Ponies". Jika pengguna mengunjungi situ spenyerang, mengklik "I Like Ponies" akan menyebabkan klik tidak sengaja pada tombol "Buy Now" dan pembelian tidak diketahui dari barang.
\nPermban modern menghargai kepala HTTP X-Frame-Options yang menunjukkan apakah atau tidak sumber daya diizinkan memuat dalam sebuah kerangka atau iframe. Jika tanggapan mengandung kepala dengan sebuah nilai dari SAMEORIGIN kemudian peramban akan hanya memuat sumber daya di sebuah ekrangka jika permintaan berasal dari situ sama. Jika kepala disetel menjadi DENY kemudian peramban akan memblok sumber daya dari memuat dalam sebuah kerangka tidak peduli situs mana membuat permintaan.
Django menyediakan sedikit cara untuk menyertakan kepala ini dalam tanggapan dari situs anda:
\nSebuah middleware yang mensetel kepala dalam semua tanggapan.
Sekumpulan dari penghias tampilan yang dapat digunakan untuk menimpa middleware atau untuk hanya menyetel kepala untuk tampilan tertentu.
Kepala HTTP X-Frame-Options akan hanya disetel dengan middleware atau penghias tampilan jika itu belum hadir di tanggapan.
X-Frame-Options untuk semua tanggapanLink to this heading#Untuk menyetel nilai X-Frame-Options untuk semua tanggapan di situs anda, taruh 'django.middleware.clickjacking.XFrameOptionsMiddleware' pada MIDDLEWARE:
MIDDLEWARE = [\n ...\n 'django.middleware.clickjacking.XFrameOptionsMiddleware',\n ...\n]\nMiddleware diadakan di berkas pengaturan dibangkitkan oleh startproject.
By default, the middleware will set the X-Frame-Options header to\nDENY for every outgoing HttpResponse. If you want any other value for\nthis header instead, set the X_FRAME_OPTIONS setting:
X_FRAME_OPTIONS = 'SAMEORIGIN'\nKetika menggunakan middleware ada mungkin beberapa tampilan dimana dan tidak ingin menyetel kepala X-Frame-Options. Untuk kasus-kasus tersebut, anda dapat menggunakan sebuah tampilan penghias yang memeribtahu middleware tidak menyetel kepala:
from django.http import HttpResponse\nfrom django.views.decorators.clickjacking import xframe_options_exempt\n\n@xframe_options_exempt\ndef ok_to_load_in_a_frame(request):\n return HttpResponse("This page is safe to load in a frame on any site.")\nX-Frame-Options per tampilanLink to this heading#Untuk menyetel kepala X-Frame-Options pada dasar pertampilan, Django menyediakan penghias ini:
from django.http import HttpResponse\nfrom django.views.decorators.clickjacking import xframe_options_deny\nfrom django.views.decorators.clickjacking import xframe_options_sameorigin\n\n@xframe_options_deny\ndef view_one(request):\n return HttpResponse("I won't display in any frame!")\n\n@xframe_options_sameorigin\ndef view_two(request):\n return HttpResponse("Display in a frame if it's from the same origin as me.")\nCatat bahwa anda dapat menggunakan penghias di penghubungan dengan middleware. Gunakan penghias menimpa middleware.
\nKepala X-Frame-Options akan hanya melindungi terhadap clickjacking di peramban modern. Peramban terlama akan secara diam mengabaikan kepala dan butuh other clickjacking prevention techniques.
X-Frame-OptionsLink to this heading#Internet Explorer 8+
Edge
Firefox 3.6.9+
Opera 10.5+
Safari 4+
Chrome 4.1+
Sebuah complete list dari peramban mendukung X-Frame-Options