Пример кликджекинга¶

Предположим, в интернет-магазине есть страница, на которой вошедший в систему пользователь может нажать «Купить сейчас», чтобы приобрести товар. Пользователь решил для удобства постоянно оставаться в магазине. Сайт злоумышленника может создать кнопку «Мне нравятся пони» на одной из своих страниц и загрузить страницу магазина в прозрачном iframe, так что кнопка «Купить сейчас» будет незаметно наложена на кнопку «Мне нравятся пони». Если пользователь посещает сайт злоумышленника, нажатие кнопки «Мне нравятся пони» приведет к непреднамеренному нажатии кнопки «Купить сейчас» и неосознанной покупке предмета.

Предотвращение кликджекинга¶

Современные браузеры учитывают HTTP-заголовок X-Frame-Options, который указывает, разрешена ли загрузка ресурса внутри фрейма или iframe. Если ответ содержит заголовок со значением SAMEORIGIN, то браузер будет загружать ресурс во фрейме только в том случае, если запрос исходит с того же сайта. Если для заголовка установлено значение DENY, браузер заблокирует загрузку ресурса во фрейме независимо от того, какой сайт сделал запрос.

Django предоставляет несколько способов включить этот заголовок в ответы вашего сайта:

1. Промежуточное программное обеспечение, которое устанавливает заголовок во всех ответах.

2. Набор декораторов представлений, которые можно использовать для переопределения промежуточного программного обеспечения или установки заголовка только для определенных представлений.

HTTP-заголовок X-Frame-Options будет установлен промежуточным программным обеспечением или декораторами представления только в том случае, если он еще не присутствует в ответе.

Как это использовать¶

MIDDLEWARE = [
    ...
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    ...
]

X_FRAME_OPTIONS = 'SAMEORIGIN'

from django.http import HttpResponse
from django.views.decorators.clickjacking import xframe_options_exempt

@xframe_options_exempt
def ok_to_load_in_a_frame(request):
    return HttpResponse("This page is safe to load in a frame on any site.")

from django.http import HttpResponse
from django.views.decorators.clickjacking import xframe_options_deny
from django.views.decorators.clickjacking import xframe_options_sameorigin

@xframe_options_deny
def view_one(request):
    return HttpResponse("I won't display in any frame!")

@xframe_options_sameorigin
def view_two(request):
    return HttpResponse("Display in a frame if it's from the same origin as me.")

Ограничения¶

The X-Frame-Options header will only protect against clickjacking in a modern browser. Older browsers will quietly ignore the header and need other clickjacking prevention techniques.