Django XFrameOptionsMiddleware (X-Frame-Options) - 클라이언트 IP별로 iframe 허용

Question

클릭 잭킹을 제어하기 위해 장고 XFrameOptionsMiddleware를 사용하고 있지만 고객 네트워크에있는 iframe에서 앱을 탐색 할 수 있어야합니다. 뷰 메소드 내에서 xframe_options_exempt 데코레이터를 적용 (또는 제거) 할 수 있기를 원합니다.

Answer 1

가장 좋은 방법은 get_xframe_options_value를 재정의하는 것입니다. XFRAME_EXEMPT_IPS는 내 경우에 fnmatch (192.168. *)를 사용하여 허용 가능한 네트워크를 탐지하는 glob_list입니다.

class TFXFrameOptionsMiddleware(XFrameOptionsMiddleware): 
    def get_xframe_options_value(self, request, response): 
     if request.META['REMOTE_ADDR'] in settings.XFRAME_EXEMPT_IPS: 
      return 'ALLOWALL' # non standard, equivalent to omitting 
     return getattr(settings, 'X_FRAME_OPTIONS', 'SAMEORIGIN').upper()