Django开发“ 'X-Frame-Options' to 'deny'“报错处理

在Django开发过程中出现报错

Refused to display 'http://127.0.0.1:8000/index/welcome.html' in a frame because it set 'X-Frame-Options' to 'deny'.

由于借用的是开源模板，百度查询到的问题是frame架构中间人攻击的相关bug，但是全是Java的解决方案。找了好久，在谷歌上找到线索，问题原因：（官方文档的答案）

clickjacking中间件和装饰器提供了易于使用的保护，以防止clickjacking。当恶意站点诱使用户单击他们已加载到隐藏框架或iframe中的另一个站点的隐藏元素时，会发生这种类型的攻击。

现代浏览器采用X-Frame-Options HTTP标头，该标头指示是否允许在框架或iframe中加载资源。如果响应包含标头值为的标头，SAMEORIGIN则浏览器将仅在请求源自同一站点的情况下将资源加载到框架中。如果将标头设置为，DENY则无论哪个站点发出请求，浏览器都将阻止资源加载到框架中。

Django提供了几种在您的网站响应中包含此标头的方法：

1. 在所有响应中设置标头的中间件。
2. 一组视图装饰器，可用于覆盖中间件或仅为某些视图设置标头。