如何删除django中的Xframe Options标头？

Question

我做了一个有一个页面的页面iframe.在内部,iframe我想显示多个不同的链接,如来自Facebook,新闻,或YouTube视频或任何其他可能的URL的文章.但是,由于Xframe标头,我无法这样做.我提到了以下链接:https: //docs.djangoproject.com/en/1.8/ref/clickjacking/ 和 Django XFrameOptionsMiddleware(X-Frame-Options) - 通过客户端IP允许iframe

但没有得到任何帮助.

我的settings.py文件MIDDLEWARE_CLASSES是:

MIDDLEWARE_CLASSES = (
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.auth.middleware.SessionAuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
)

从http://django-secure.readthedocs.org/en/latest/middleware.html,我发现使用装饰器@frame_deny_exempt我的问题可以解决.不过,我在chrome控制台中遇到了同样的错误,即 Refused to display '<URL>' in a frame because it set 'X-Frame-Options' to 'SAMEORIGIN, SAMEORIGIN'.

对此有何帮助？

Answer 1

django.middleware.clickjacking.XFrameOptionsMiddleware从MIDDLEWAREsettings.py 中的列表中删除

Answer 2

如果我理解得很好的话，你这里有问题。X-Frame-Options是关于浏览器尊重您的标头，决定是否允许您的网站出现在 iframe 中，而不是允许您的 iframe 中出现第三个网站。

这分别发生在其他站点的标题中。例如，Facebook 已将上述标头设置为DENY，因此任何支持此设置的浏览器都不允许您的网站显示它，无论您网站的标头是什么。