Как добавить заголовок защиты x-xss в django?

Question

Я не могу добавить заголовок x-xss-защиты в объект HttpResponse.

В принципе, я хочу, чтобы иметь возможность переопределить защиту x-xss: «1; mode = block;» заголовок, так как это дает мне сообщение об ошибке на Webkit браузеров (Safari и Chrome):

Аудитор XSS отказался выполнить скрипт в «HTTP: // ...», потому что его исходный код был найден внутри запрос. Аудитор был включен в качестве сервера послал ни в 'X-XSS-защиты', ни 'Content-Security-Policy' заголовка

Когда я попытался добавить заголовок HTTP X-XSS-Protection в объекте HttpResponse, Я получаю это:

получил неожиданный аргумент ключевого слова 'X-XSS-защиты'

это кажется, что он не поддерживает й-XSS-защиты ?! Я, вероятно, делаю это неправильно.

Я не уверен, что я должен добавить это на уровне приложения (django) или на уровне веб-сервера (Apache/nginX).

В моем случае это было бы желательно делать непосредственно на виду, так как я не хочу, чтобы эта уязвимость была «неотображаемой» на других представлениях django.

Любое предложение?

Answer 1

django-secure может это сделать для вас. Вы можете установить его через pip.

Чтобы включить фильтр XSS в браузере и заставить его всегда блокировать подозрительные атаки XSS, вы можете передать X-XSS-Protection: 1; mode = заголовок блока. SecurityMiddleware будет делать это для всех ответов, если параметр SECURE_BROWSER_XSS_FILTER имеет значение True.

http://django-secure.readthedocs.org/en/latest/middleware.html