Защита от кликджекинга¶

Пример кликджекинга¶

Предположим, что в интернет-магазине есть страница, на которой вошедший в систему пользователь может нажать кнопку «Купить сейчас», чтобы приобрести товар. Для удобства пользователь решил постоянно оставаться зарегистрированным в магазине. Сайт злоумышленника может создать кнопку «Мне нравятся пони» на одной из своих страниц и загрузить страницу магазина в прозрачном iframe таким образом, чтобы кнопка «Купить сейчас» была незаметно наложена на кнопку «Мне нравятся пони». Если пользователь посетит сайт злоумышленника, нажатие на кнопку «Мне нравятся пони» приведет к непреднамеренному нажатию на кнопку «Купить сейчас» и неосознанной покупке товара.

Предотвращение кликджекинга¶

Современные браузеры поддерживают HTTP-заголовок X-Frame-Options, который указывает, разрешено ли загружать ресурс во фрейме или iframe. Если ответ содержит заголовок со значением SAMEORIGIN, то браузер будет загружать ресурс во фрейме, только если запрос исходит с того же сайта. Если заголовок имеет значение DENY, то браузер будет блокировать загрузку ресурса во фрейме независимо от того, с какого сайта был сделан запрос.

Django предоставляет несколько способов включить этот заголовок в ответы вашего сайта:

1. Промежуточное программное обеспечение, которое устанавливает заголовок во всех ответах.
2. Набор декораторов представления, которые можно использовать для переопределения промежуточного программного обеспечения или для установки заголовка только для определенных представлений.

HTTP-заголовок X-Frame-Options будет установлен промежуточным ПО или декораторами представления, только если он еще не присутствует в ответе.

Как его использовать¶

MIDDLEWARE = [
    ...,
    "django.middleware.clickjacking.XFrameOptionsMiddleware",
    ...,
]

X_FRAME_OPTIONS = "SAMEORIGIN"

from django.http import HttpResponse
from django.views.decorators.clickjacking import xframe_options_exempt


@xframe_options_exempt
def ok_to_load_in_a_frame(request):
    return HttpResponse("This page is safe to load in a frame on any site.")

from django.http import HttpResponse
from django.views.decorators.clickjacking import xframe_options_deny
from django.views.decorators.clickjacking import xframe_options_sameorigin


@xframe_options_deny
def view_one(request):
    return HttpResponse("I won't display in any frame!")


@xframe_options_sameorigin
def view_two(request):
    return HttpResponse("Display in a frame if it's from the same origin as me.")

Ограничения¶

Заголовок X-Frame-Options защитит от кликджекинга только в современном браузере. Более старые браузеры будут спокойно игнорировать этот заголовок и нуждаться в other clickjacking prevention techniques.