Apache X-Frame-Options SAMEORIGIN всегда добавляется

Question

Я запускаю тот же проект django на двух веб-серверах Ubuntu 14.04.3 LTS (один «настоящий» и один виртуальный). Поскольку этот проект должен запускаться в iframe на другом веб-сайте, мне пришлось перейти на X-Frame-Options.

В моей виртуальной машине у меня было только изменить security.conf и вставить Header set X-Frame-Options: "ALLOW-FROM https://example.org" Это часть в заголовке HTML: X-Frame-Options ALLOW-FROM https://example.org

В реальном сервере я попытался иметь ту же конфигурацию. Но заголовок HTML выглядит так: X-Frame-Options SAMEORIGIN ALLOW-FROM https://example.org

И я не знаю, где этот SAMEORIGIN установлен. Знаете ли вы, где я должен искать этот вариант? Если просмотреть все confs в каталоге (и подкаталогах)/etc/apache2, но ничего не нашел.

Спасибо!

Answer 1

Если вы используете Django, возможно, у вас установлен Clickjacking middleware. Ищите это в своих settings.py.

MIDDLEWARE_CLASSES = [ 
    ... 
    'django.middleware.clickjacking.XFrameOptionsMiddleware', 
    ... 
] 

Это будет отправлен обратно с вашего сервера приложений на Apache и Apache будет отправить его в браузер в качестве заголовка HTTP сквозной.