### 设置 `X-Frame-Options` 头部 默认情况下，Django 中间件 `django.middleware.clickjacking.XFrameOptionsMiddleware` 会在 HTTP 响应头部添加 `X-Frame-Options: DENY` 或者 `SAMEORIGIN`[^2]。这防止了页面被嵌入到其他网站的 `<iframe>` 标签中。 为了允许特定站点或者所有站点通过 `<iframe>` 加载 Django 页面，在项目的 `settings.py` 文件中可以调整 `X_FRAME_OPTIONS` 的值： #### 修改 `settings.py` 如果希望完全开放，即任何站点都可以加载该页面作为子框架，则设置如下： ```python X_FRAME_OPTIONS = 'ALLOWALL' ``` 不过需要注意的是 `'ALLOWALL'` 并不是官方推荐的安全选项；更安全的做法是指定具体的域名列表或使用现代浏览器支持的内容安全策略 (CSP)[^3]。 对于只允许来自同一源的请求访问 iframe 内容，应该保留默认配置： ```python X_FRAME_OPTIONS = 'SAMEORIGIN' ``` 当需要指定某些外部站点能够加载当前网页时，可以通过 Content Security Policy 来替代传统的 `X-Frame-Options` 配置。例如，要让 example.com 和 anotherdomain.org 能够加载此页面为 iframe 子资源，可以在中间件类里定义 CSP 如下所示： ```python from django import middleware class CustomSecurityHeaders(middleware.security.SecurityMiddleware): def process_response(self, request, response): csp_value = "frame-ancestors 'self' https://example.com https://anotherdomain.org;" if not response.get('Content-Security-Policy'): response['Content-Security-Policy'] = csp_value elif isinstance(response['Content-Security-Policy'], str): existing_csp = response['Content-Security-Policy'] combined_csp = f"{existing_csp} {csp_value}" response['Content-Security-Policy'] = combined_csp.strip() return super().process_response(request, response) ``` 上述代码创建了一个自定义中间件来追加 CSP header 到响应对象上，从而控制哪些域可以将页面显示在一个 `<iframe>` 中[^1]。