Защита от кликджекинга ¶

Пример кликджекинга ¶

Предположим, в интернет-магазине есть страница, где зарегистрированный пользователь может нажать «Купить», чтобы приобрести товар. Для удобства пользователь решил всегда оставаться в магазине. Атакующий сайт может создать кнопку «Мне нравятся пони» на одной из своих страниц и загрузить страницу магазина в прозрачном фрейме iframe, чтобы кнопка «Купить» была наложена и невидима над ней. кнопка «Мне нравятся пони». Если пользователь заходит на сайт злоумышленника, щелчок «Мне нравятся пони» вызовет неожиданный щелчок по кнопке «Купить» в интернет-магазине, и товар будет приобретен без пользователь не знает.

Предотвращение кликджекинга ¶

Современные браузеры соблюдают HTTP-заголовок X-Frame-Options, который указывает, разрешено ли загружать ресурс во фрейме или iframe. Если ответ содержит значение в этом заголовке SAMEORIGIN , браузер загрузит ресурс во фрейме только в том случае, если запрос поступает с того же сайта. Если заголовок содержит DENY , то браузер блокирует загрузку ресурса во фрейме независимо от сайта, который его запрашивает.

Django предоставляет несколько способов включить этот заголовок в ответы вашего сайта:

1. Промежуточное ПО, которое устанавливает заголовок во всех ответах.
2. Набор декораторов представлений, которые можно использовать для переопределения промежуточного программного обеспечения или для заполнения заголовка только для определенных представлений.

Заголовок HTTP X-Frame-Options будет установлен только промежуточным программным обеспечением или декораторами представления, если он еще не присутствует в ответе.

Как пользоваться ¶

MIDDLEWARE = [
    ...
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    ...
]

X_FRAME_OPTIONS = 'SAMEORIGIN'

from django.http import HttpResponse
from django.views.decorators.clickjacking import xframe_options_exempt

@xframe_options_exempt
def ok_to_load_in_a_frame(request):
    return HttpResponse("This page is safe to load in a frame on any site.")

from django.http import HttpResponse
from django.views.decorators.clickjacking import xframe_options_deny
from django.views.decorators.clickjacking import xframe_options_sameorigin

@xframe_options_deny
def view_one(request):
    return HttpResponse("I won't display in any frame!")

@xframe_options_sameorigin
def view_two(request):
    return HttpResponse("Display in a frame if it's from the same origin as me.")

Ограничения ¶

Заголовок X-Frame-Options защищает только от кликджекинга в современных браузерах. Старые браузеры игнорируют этот заголовок и нуждаются в дополнительных методах предотвращения кликджека .