如何设置Django的X-Frame-Options解决iframe嵌入媒体被拒问题？

你的判断完全正确——问题的根源根本不在动态视图的X-Frame-Options配置上，核心矛盾是Django本地开发服务器对媒体/静态文件的响应头处理逻辑，完全绕开了你在settings里写的全局安全头配置。

为什么改了配置仍然报拒绝嵌入的错 #

• Django内置的XFrameOptionsMiddleware只对走标准请求路由、通过视图函数返回的动态响应生效，根本不会介入开发模式下静态文件的响应头注入流程。
• 你之前做的两类修改：把X_FRAME_OPTIONS = 'ALLOWALL'写进settings、从MIDDLEWARE列表删掉X-Frame-Options中间件，都只会影响动态接口的响应头，对media目录下的静态文件请求毫无作用。
• 你在settings里加的XS_SHARING_ALLOWED_METHODS不是Django原生框架的配置项，属于部分老旧第三方跨域共享插件的自定义配置，和Django内置的X-Frame-Options响应头逻辑完全无关，写了不会产生任何实际效果。
• 你控制台报错里显示被拒绝访问的地址是站点根路径http://127.0.0.1:8000/，而不是iframe写的具体plot文件路径，本身就是明确的信号：你请求的媒体文件返回的响应根本没经过你配置的中间件链路，默认带了deny级别的X-Frame-Options头。
• 这个默认的deny头，是Django静态服务模块django.views.static.serve硬编码的兜底安全逻辑，完全不读取settings里的X_FRAME_OPTIONS配置，属于开发服务器的内置行为。

方案1：自定义媒体文件服务视图，覆盖响应头 #

不使用Django默认的静态服务映射逻辑，通过自定义视图接管media路径的文件返回流程，手动注入正确的响应头：

1. 先写自定义的媒体服务处理函数，在原有静态文件服务的逻辑基础上，覆盖默认的X-Frame-Options头：

   from django.views.static import serve
   
   def custom_media_handler(request, path, document_root=None):
       response = serve(request, path, document_root=document_root)
       # 同源嵌入使用SAMEORIGIN，需要跨域嵌入可设为ALLOWALL
       response.headers["X-Frame-Options"] = "SAMEORIGIN"
       return response
   

2. 在根路由配置里，把原来的media静态映射从默认的serve函数，替换成你写的自定义处理函数：

   from django.conf import settings
   from django.conf.urls.static import static
   
   urlpatterns += static(
       settings.MEDIA_URL,
       view=custom_media_handler,
       document_root=settings.MEDIA_ROOT
   )
   

方案2：用动态视图直接返回Plotly HTML内容 #

既然这些Plotly生成的HTML本来就是服务端动态产出的，完全不需要把文件落到media目录走静态服务流程：

• 可以写一个带身份校验的视图，根据请求参数读取对应的Plotly HTML文件内容，直接构造HttpResponse返回，在响应里设置正确的X-Frame-Options头。
• 这种方案比静态托管更安全，还可以在视图里加权限校验，避免未授权用户拿到文件路径直接访问敏感的图表内容。

方案3：本地用独立静态服务托管media目录 #

如果不想改动Django代码，可以在本地搭轻量静态服务指向media目录，由静态服务统一返回带正确X-Frame-Options头的文件内容，直接把iframe的src指向静态服务的对应路径即可。

注意事项：不要为了图方便全局把X_FRAME_OPTIONS设为ALLOWALL，这个配置如果全局生效，会让所有Django动态接口都能被任意第三方站点iframe嵌入，带来点击劫持的安全风险。生产环境下的静态文件响应头，通常是由Nginx、CDN等反向代理层统一配置的，根本不会经过Django进程处理，你遇到的配置不生效问题，本质是开发环境的静态服务逻辑和生产环境行为不一致导致的。

内容的提问来源于stack exchange，提问作者Ali H. Kudeir