一、点击劫持
当恶意网站欺骗用户点击另一个网站的隐藏元素时，就会发生这种类型的攻击，该元素已被加载到一个隐藏的框架或 iframe 中。
二、点击劫持的例子
假设一家在线商店有一个页面，登录的用户可以点击“立即购买”来购买商品。用户为了方便，选择了保持登录商店。攻击者网站可能会在自己的一个页面上创建一个“I Like Ponies”按钮，并在一个透明的 iframe 中加载商店的页面，使“立即购买”按钮无形中覆盖在“I Like Ponies”按钮上。如果用户访问攻击者的网站，点击“I Like Ponies”将导致无意中点击“立即购买”按钮，并在不知情的情况下购买该商品。
三、防止点击劫持
现代浏览器支持X-Frame-OptionsHTTP 头，它表明是否允许在框架或 iframe 中加载资源。
X-Frame-Options参数值：
- DENY：不能被嵌入到任何iframe或者frame中。
- SAMEORIGIN：页面只能被本站页面嵌入到iframe或者frame中
- ALLOW-FROM uri：只能被嵌入到指定域名的框架中
Django 提供了一些方法来在你的网站的响应中包含这个头：
- 一个在所有响应中设置头的中间件。
- 一组可用于覆盖中间件或仅为某些视图设置头的视图装饰器。
X-Frame-OptionsHTTP 头只有在响应中还没有出现的情况下，才会被中间件或视图装饰者设置。
四、在django中配置防止点击劫持
1、为所有的响应设置
要为你的网站的所有响应设置相同的?X-Frame-Options?值，把?'django.middleware.clickjacking.XFrameOptionsMiddleware'?配置到配置文件中的MIDDLEWARE中间件中
?
默认情况下，该中间件将为每个传出的响应设置?X-Frame-Options???????头为DENY。如果你想为这个头设置任何其他的值，可以在配置文件中设置其他的值
X_FRAME_OPTIONS = 'SAMEORIGIN'
在使用中间件时，有些视图可能?不希望?设置?X-Frame-Options???????头。对于这些情况，你可以使用一个视图装饰器，告诉中间件不要设置头：
from django.shortcuts import render
# Create your views here.
from django.views import View
from django.views.decorators.clickjacking import xframe_options_exempt
@xframe_options_exempt
def SessionJackView(request):
return render(request, 'sessionjack.html')测试 ：
后端返回的页面
?
前端嵌入页面?
?
?设置为
X_FRAME_OPTIONS = 'SAMEORIGIN'
??
?设置为
X_FRAME_OPTIONS = 'ALLOW-FROM uri'
?使用xframe_options_exempt装饰器
装饰器和中间件一起使用,装饰器会覆盖掉中间件以及自己配置的参数值，并且使用该装饰器后.
@xframe_options_exempt
def SessionJackView(request):
return render(request, 'sessionjack.html')?
?2、为每个视图设置?X-Frame-Options
要在每个视图上设置?
X-Frame-Options?头，Django 还提供了这些装饰器：
五、?X-Frame-Options的源码解析
django.middleware.clickjacking.XFrameOptionsMiddleware