Django中@xframe_options_exempt不生效致iFrame加载失败问题咨询

安全阿岳

2026-8-28

问题核心成因

你所有配置不生效的核心原因是装饰器加错了作用对象，额外可能伴随Web服务器响应头覆盖、域名不匹配的问题：

X-Frame-Options响应头是控制「当前资源能不能被其他页面嵌入iframe」的，这个头需要加在被iframe加载的那个HTML文件的响应上，而不是加在包含<iframe>标签的父页面（也就是你写的work_detail视图）上。你现在嵌入的是上传到MEDIA目录的本地HTML文件，这类资源默认不会走你写的业务视图：开发环境下由Django内置的静态文件服务视图返回，生产环境下直接由Nginx/Apache/CDN返回，你在外层业务视图上加的所有点击劫持相关装饰器，根本碰不到iframe加载的资源响应，自然完全不生效。
如果你生产环境用Nginx、CDN这类前置服务托管静态/媒体资源，这类服务默认可能自带全局X-Frame-Options: DENY的头配置，优先级高于Django应用层返回的头，就算你在Django里改了配置，也会被前置服务覆盖。
就算你之前全局设过SAMEORIGIN，如果父页面和媒体资源的协议、域名、端口任意一项不匹配（比如localhost和127.0.0.1混用、http/https混用、媒体资源用了单独子域/CDN域名），SAMEORIGIN规则也会拦截加载。

可行排查与解决方向

第一步先定位实际拦截来源：打开浏览器开发者工具，切到「网络」面板，找到iframe请求的那个HTML文件，查看它的响应头：
- 先看X-Frame-Options的实际返回值，确认是不是DENY
- 再看Server字段，确认这个响应是Django返回的，还是Nginx/CDN直接返回的
开发环境（runserver启动）适配：不要在外层业务视图加装饰器，直接给媒体文件的服务路由加上对应头，修改urls.py的媒体路由配置即可：

from django.views.static import serve
from django.views.decorators.clickjacking import xframe_options_sameorigin
from django.conf import settings
from django.urls import path

# 替换默认的媒体文件路由，给媒体资源响应加上同域允许嵌入的头
urlpatterns += [
    path(
        f"{settings.MEDIA_URL.lstrip('/')}<path:path>",
        xframe_options_sameorigin(serve),
        {"document_root": settings.MEDIA_ROOT}
    )
]

生产环境适配：
- 如果是Nginx直接托管媒体文件：直接在Nginx的媒体路径配置块里加响应头，不要依赖Django的配置，避免被覆盖：
```
location /media/ {
    # 保留全局其他路径的DENY配置，仅给媒体路径放开同域嵌入权限
    add_header X-Frame-Options SAMEORIGIN always;
    # 保留你原有的媒体文件配置，比如root路径、缓存规则等
}
```
- 如果媒体文件走CDN：直接在CDN控制台配置HTTP响应头规则，针对.html后缀的媒体资源，将X-Frame-Options设置为SAMEORIGIN，覆盖全局的DENY配置。
检查域一致性：确认父页面和iframe加载的HTML文件的协议（http/https）、完整域名、端口完全一致，避免混合内容拦截、跨子域/跨端口导致的SAMEORIGIN规则失效。
部署警告处理：保持全局X_FRAME_OPTIONS = 'DENY'的默认安全配置即可，不需要改回SAMEORIGIN，仅针对需要被嵌入的媒体资源路径单独放开权限，既不会触发--check deploy的W019安全警告，也能把点击劫持的攻击面降到最低。
注意：非必要不要用@xframe_options_exempt全放开嵌入权限，该配置会允许任意第三方网站嵌入你的资源，存在明确的点击劫持风险，同域嵌入场景用SAMEORIGIN即可满足需求。

内容的提问来源于stack exchange，提问作者wildcat89