襄阳门户网站建设,做网站在线支付系统多少钱?,诸暨公司做网站,华为网站的建设建议文章目录 一、什么是中间件二、中间件有什么用三、Django自定义中间件中间件中主要方法及作用创建自定义中间件的步骤#xff1a;process_request与process_response方法process_view方法process_exceptionprocess_template_response#xff08;不常用#xff09; 四、CSRF_… 文章目录 一、什么是中间件二、中间件有什么用三、Django自定义中间件中间件中主要方法及作用创建自定义中间件的步骤process_request与process_response方法process_view方法process_exceptionprocess_template_response不常用 四、CSRF_TOKENCSRF是什么CSRF攻击原理CSRF攻击防范 五、CSRF跨站请求伪造详解六、CSRF跨站请求伪造七、CSRF相关校验策略一、form表单CSRF策略二、Ajax请求CSRF策略 八、CSRF装饰器相关操作FBV添加装饰器方式CBV添加装饰器的多种方式 流程图介绍中间件
一、什么是中间件 Django中间件类似于django的门户所有的请求来和响应走走必须经过中间件 中间件顾名思义是介于request与response处理之间的一道处理过程相对比较轻量级并且在全局上改变django的输入与输出。因为改变的是全局所以需要谨慎实用用不好会影响到性能
Django官方中间件的定义 Middleware is a framework of hooks into Django’s request/response processing. It’s a light, low-level “plugin” system for globally altering Django’s input or output.中间件它的执行位置在web服务网关接口之后在路由匹配之前执行的 二、中间件有什么用
如果你想修改请求例如被传送到view中的HttpRequest对象。 或者你想修改view返回的HttpResponse对象这些都可以通过中间件来实现。
可能你还想在view执行之前做一些操作这种情况就可以用 middleware来实现。
Django默认的中间件在django项目的settings模块中有一个 MIDDLEWARE_CLASSES 变量其中每一个元素就是一个中间件如下 django中自带的有七个中间件MIDDLEWARE [django.middleware.security.SecurityMiddleware,django.contrib.sessions.middleware.SessionMiddleware,django.middleware.common.CommonMiddleware,django.middleware.csrf.CsrfViewMiddleware,django.contrib.auth.middleware.AuthenticationMiddleware,django.contrib.messages.middleware.MessageMiddleware,django.middleware.clickjacking.XFrameOptionsMiddleware,]1.django.middleware.security.SecurityMiddleware 做了一些安全处理的中间件。比如设置XSS防御的请求头比如做了http协议转为https协议的工作等。 2.django.contrib.sessions.middleware.SessionMiddleware session中间件。会给request添加一个处理好的session对象。 3.django.middleware.common.CommonMiddleware 通用中间件会处理一些URL比如baidu.com会自动的处理成www.baidu.com。 4.django.middleware.csrf.CsrfViewMiddleware 保护中间件在提交表单的时候必须加入csrf_tokencookie中也会生成一个名叫csrftoken的值也会在header中加入一个HTTP_X_CSRFTOKEN的值来放置CSRF攻击。SessionMiddleware必须出现在CsrfMiddleware之前。 5.django.contrib.auth.middleware.AuthenticationMiddleware 用户授权中间件。会给reqeust添加一个user对象的中间件。该中间件必须在sessionmiddleware后面。 6.django.contrib.messages.middleware.MessageMiddleware 消息处理中间件。为了在多个模版中可以使用我们返回给模版的变量并且简化操作。 7.django.middleware.clickjacking.XFrameOptionsMiddleware 防止通过浏览器页面跨Frame出现clickjacking欺骗点击攻击出现。 中间件的执行顺序 每一个中间件在请求来的时候或者响应的时候都具有一定的作用。 三、Django自定义中间件 Django给我们提供了创建自定义中间件的方式通过创建自定义中间件来实现全局的功能例如全局用户黑名单校验、全局用户访问频率校验、网站全局用户身份校验等等。 中间件中主要方法及作用 中间件类必须继承自django.utils.deprecation.MiddlewareMixin类process_request(self,request)用途过滤请求1.请求来的时候会按照配置文件中注册了的中间件从上往下依次执行每一个中间件里面的porcess_request方法如果没有则直接跳过2.该方法如果返回了HttpResponse对象那么请求不会再往后执行原路返回process_view(self, request, callback, callback_args, callback_kwargs)用途用于代码层面的替换和过滤这个方法可以拿到视图函数的参数当路由匹配成功之后执行视图函数之前自动触发process_template_response(self,request,response)当视图函数返回的数据对象中含有render属性对应render函数才会触发process_exception(self, request, exception)用途用于一般用于捕获发生的异常并将其邮件发送给开发人员当视图函数报错之后自动触发process_response(self, request, response)1.响应走的时候会按照配置文件中注册了的中间件从下往上依次执行每一个中间件里面的process_response方法如果没有则直接跳过2.该方法有两个形参request和response并且默认情况下应该返回response3.该方法也可以自己返回HttpResponse对象相当于狸猫换太子
如果请求的过程中process_request方法直接返回了HttpResponse对象那么会原地执行同级别process_response返回后直接返回(flask则不同)创建自定义中间件的步骤 1.在项目名下或者任意的应用名下创建一个文件夹2.在该文件夹内创建一个任意名称的py文件3.在该py文件中编写一个自定义的中间件类并且必须继承MiddlewareMixin4.紧接着去settings配置文件中注册中间件process_request与process_response方法
当用户发起请求的时候会依次执行经过的所有中间件这个时候的请求首先进入process_request最后到达views的函数中views函数处理后在依次穿过中间件这个时候是process_response最后返回给请求者。 我们要自己定义中间件的话需要写一个类并且继承MiddlewareMixin from django.utils.deprecation import MiddlewareMixin第一步需要建立一个py文件夹来编写我们自定义的中间件建议在应用层下面创建。 app-------》Middleware-----》middle.py from django.utils.deprecation import MiddlewareMixinclass MyMiddleware1(MiddlewareMixin):def process_request(self,request):print(这是第一个中间件的process_request)def process_response(self,request,response): # 响应print(这是第一个中间件的process_response)return responseclass MyMiddleware2(MiddlewareMixin):def process_request(self,request):print(这是第二个中间件的process_request)def process_response(self,request,response): # 响应print(这是第二个中间件的process_response)return response第二步在settings.py文件里面加入我们自定义的中间件 MIDDLEWARE [# settings这个列表中存储的其实就是一个个中间件的路径django.middleware.security.SecurityMiddleware,django.contrib.sessions.middleware.SessionMiddleware,django.middleware.common.CommonMiddleware,django.middleware.csrf.CsrfViewMiddleware,django.contrib.auth.middleware.AuthenticationMiddleware,django.contrib.messages.middleware.MessageMiddleware,django.middleware.clickjacking.XFrameOptionsMiddleware,#下面两个就是自定义的中间件路径地址app.Middleware.middle.MyMiddleware1,app.Middleware.middle.MyMiddleware2,]第三步定义视图函数 记得别忘记配置路由def func(request):print(from func)return HttpResponse(from func)当我们浏览器朝服务端发送请求必定会经过我们刚才定义的中间件
而process_request方法的request则是请求response则是视图函数返回的内容到了中间件里面然后由中间件return出去。所以我们是可以在process_response里面不写return视图函数返回的内容自己定义内容返回。 从下图看正常的情况下按照绿色的路线进行执行假设中间件1有返回值则按照红色的路线走直接执行该类下的process_response方法返回后面的其他中间件就不会执行。
也就是说中间件的process_request方法使用了return那么其后面的中间件将不再执行直接执行该中间件和其上面中间件的process_response方法最终将某个process_request里面的return值返回给请求者。
由此总结
中间件的process_request方法是在执行视图函数之前执行的。当配置多个中间件时会按照MIDDLEWARE中的注册顺序也就是列表的索引值从前到后依次执行的。不同中间件之间传递的request都是同一个对象
多个中间件中的process_response方法是按照MIDDLEWARE中的注册顺序倒序执行的也就是说第一个中间件的process_request方法首先执行而它的process_response方法最后执行最后一个中间件的process_request方法最后一个执行它的process_response方法是最先执行的。 process_view方法
该方法格式process_view(request, view_func, view_args, view_kwargs)
process_view方法的四个参数
requestHTTPRequest对象view_funcDjango即将调用的视图函数view_args将传递给视图的位置参数的元组view_kwargs是将传递给视图的关键字参数的字典
view_args和view_kwargs都不包含第一个视图函数(request)
process_view方法是在视图函数之前process_request方法之后执行的。 它应该返回None或一个HttpResponse对象如果返回NoneDjango将继续处理这个请求执行任何其他中间件的process_view方法然后在执行相应的视图。如果它返回一个HttpResponse对象Django不会调用适当的视图函数。它将执行中间件的process_response方法并将应用到该HttpResponse并返回结果。 自定义中间件: 记得需要注册自定义中间件from django.utils.deprecation import MiddlewareMixinclass Md1(MiddlewareMixin):def process_request(self,request):print(M1请求来时校验)def process_response(self,reqeust,response):print(M1返回数据时对数据进行处理)return responsedef process_view(self,request,view_func,view_args,view_kwargs):print(我在只给你view函数前执行)class Md2(MiddlewareMixin):def process_reqeust(self,request):print(M2请求来时校验)def process_response(self,request,response):print(M2返回数据时对数据进行处理)return responsedef process_view(self,request,view_func,view_args,view_kwargs):pass执行结果》》》》M1请求来时校验我在只给你view函数前执行from funcM2返回数据时对数据进行处理M1返回数据时对数据进行处理下图分析上面代码的执行过程
当最后一个中间件的process_reqeust到达路由关系映射之后返回到中间件1的process_view然后依次往下到达views函数最后通过process_response依次返回到达用户。
注意process_view如果有返回值会越过其他的process_view以及视图函数但是所有的process_response都还会执行。 process_exception
process_exception(self, request, exception)
该方法两个参数:
一个HttpRequest对象一个exception是视图函数异常产生的Exception对象。 这个方法只有在视图函数中出现异常了才执行它返回的值可以是一个None也可以是一个HttpResponse对象。如果是HttpResponse对象Django将调用模板和中间件中的process_response方法并返回给浏览器否则将默认处理异常。如果返回一个None则交给下一个中间件的process_exception方法来处理异常。它的执行顺序也是按照中间件注册顺序的倒序执行。 视图函数制造错误 def index(request):print(index视图函数执行了)lis [1,2,3]lis[4]自定义中间件 class Md1(MiddlewareMixin):def process_request(self,request):print(Md1请求)def process_response(self,request,response):print(Md1返回)return responsedef process_view(self, request, callback, callback_args, callback_kwargs):print(md1 process_view...)def process_exception(self,request,exception):print(md1 process_exception...)class Md2(MiddlewareMixin):def process_request(self,request):print(Md2请求)def process_response(self,request,response):print(Md2返回)print(response.content)return responsedef process_view(self, request, view_func, view_args, view_kwargs):print(md2 process_view...)def process_exception(self, request, exception):print(md2 process_exception...)return HttpResponse(exception)执行结果》》》》Md1请求Md2请求md1 process_view...md2 process_view...index视图函数执行了md2 process_exception...Md2返回blist index out of rangeMd1返回当process_exception进行return HttpResponse后process_response方法就会拿到其返回的数据。 当views出现错误时流程图如下
process_template_response不常用 该方法对视图函数返回值有要求必须是一个含有render方法类的对象才会执行此方法。 process_template_response 函数是在视图函数执行完后立即执行的
视图 def index(request):print(这里是 index 页面)repsponse HttpResponse(这里是主页面 index)def render():print(这里是 index 函数里的 render 方法)return HttpResponse(index)repsponse.render renderreturn repsponse自定义中间件 class Md2(MiddlewareMixin):def process_request(self,request):print(Md2请求)def process_response(self,request,response):print(Md2返回)return responsedef process_view(self, request, view_func, view_args, view_kwargs):print(view_func)print(md2 process_view...)def process_template_response(self, request, response):print(视图函数执行完毕且返回了render)return response执行结果》》》》Md2请求md2 process_view...这里是 index 页面视图函数执行完毕且返回了render这里是 index 函数里的 render 方法Md2返回四、CSRF_TOKEN
CSRF是什么 CSRFCross-site request forgery跨站请求伪造也被称为“One Click Attack”或者Session Riding通常缩写为CSRF或者XSRF是一种对网站的恶意利用。尽管听起来像跨站脚本XSS但它与XSS非常不同XSS利用站点内的信任用户而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比CSRF攻击往往不大流行因此对其进行防范的资源也相当稀少和难以防范所以被认为比XSS更具危险性 也可以这样来理解 攻击者盗用了你的身份以你的名义发送恶意请求对服务器来说这个请求是完全合法的但是却完成了攻击者所期望的一个操作比如以你名义发送邮件、发消息盗取你的账号添加系统管理员甚至于购买商品、虚拟货币转账等。如下其中Web A为存在CSRF泄露的网站Web B为攻击者构建的恶意网站User C为Web A网站的合法用户 CSRF攻击原理
如下图 从上图可以看出要完成一次CSRF攻击受害者必须依次完成两个步骤
登录受信任网站A并在本地生成Cookie在不登出A的情况下访问危险网站B
看到这里你也许会说“如果我不满足以上两个条件中的一个我就不会受到CSRF的攻击”。是的确实如此但你不能保证以下情况不会发生
你不能保证你登录了一个网站后不再打开一个tab页面并访问另外的网站你不能保证你关闭浏览器之后你的本地的Cookie立刻过期你上次的会话已经结束。事实上关闭浏览器不能结束一个会话但大多数人都会错误的认为关闭浏览器就等于退出登录/结束会话了…上图中所谓的攻击往回走哪可能是一个存在其他漏洞的可信任的经常被人访问的网站。 CSRF攻击防范 目前防御 CSRF 攻击主要有三种策略验证 HTTP Referer 字段在请求地址中添加 token 并验证在 HTTP 头中自定义属性并验证 1验证 HTTP Referer 字段 根据 HTTP 协议在 HTTP 头中有一个字段叫 Referer它记录了该 HTTP 请求的来源地址。在通常情况下访问一个安全受限页面的请求来自于同一个网站比如需要访问 http://bank.example/withdraw?accountbobamount1000000forMallory用户必须先登陆 bank.example然后通过点击页面上的按钮来触发转账事件。这时该转帐请求的 Referer 值就会是转账按钮所在的页面的 URL通常是以 bank.example 域名开头的地址。而如果黑客要对银行网站实施 CSRF 攻击他只能在他自己的网站构造请求当用户通过黑客的网站发送请求到银行时该请求的 Referer 是指向黑客自己的网站。因此要防御 CSRF 攻击银行网站只需要对于每一个转账请求验证其 Referer 值如果是以 bank.example 开头的域名则说明该请求是来自银行网站自己的请求是合法的。如果 Referer 是其他网站的话则有可能是黑客的 CSRF 攻击拒绝该请求。 这种方法的显而易见的好处就是简单易行网站的普通开发人员不需要操心 CSRF 的漏洞只需要在最后给所有安全敏感的请求统一增加一个拦截器来检查 Referer 的值就可以。特别是对于当前现有的系统不需要改变当前系统的任何已有代码和逻辑没有风险非常便捷。 然而这种方法并非万无一失。Referer 的值是由浏览器提供的虽然 HTTP 协议上有明确的要求但是每个浏览器对于 Referer 的具体实现可能有差别并不能保证浏览器自身没有安全漏洞。使用验证 Referer 值的方法就是把安全性都依赖于第三方即浏览器来保障从理论上来讲这样并不安全。事实上对于某些浏览器比如 IE6 或 FF2目前已经有一些方法可以篡改 Referer 值。如果 bank.example 网站支持 IE6 浏览器黑客完全可以把用户浏览器的 Referer 值设为以 bank.example 域名开头的地址这样就可以通过验证从而进行 CSRF 攻击。 即便是使用最新的浏览器黑客无法篡改 Referer 值这种方法仍然有问题。因为 Referer 值会记录下用户的访问来源有些用户认为这样会侵犯到他们自己的隐私权特别是有些组织担心 Referer 值会把组织内网中的某些信息泄露到外网中。因此用户自己可以设置浏览器使其在发送请求时不再提供 Referer。当他们正常访问银行网站时网站会因为请求没有 Referer 值而认为是 CSRF 攻击拒绝合法用户的访问。 2在请求地址中添加 token 并验证 CSRF 攻击之所以能够成功是因为黑客可以完全伪造用户的请求该请求中所有的用户验证信息都是存在于 cookie 中因此黑客可以在不知道这些验证信息的情况下直接利用用户自己的 cookie 来通过安全验证。要抵御 CSRF关键在于在请求中放入黑客所不能伪造的信息并且该信息不存在于 cookie 之中。可以在 HTTP 请求中以参数的形式加入一个随机产生的 token并在服务器端建立一个拦截器来验证这个 token如果请求中没有 token 或者 token 内容不正确则认为可能是 CSRF 攻击而拒绝该请求。 这种方法要比检查 Referer 要安全一些token 可以在用户登陆后产生并放于 session 之中然后在每次请求时把 token 从 session 中拿出与请求中的 token 进行比对但这种方法的难点在于如何把 token 以参数的形式加入请求。对于 GET 请求token 将附在请求地址之后这样 URL 就变成 http://url?csrftokentokenvalue。 而对于 POST 请求来说要在 form 的最后加上 这样就把 token 以参数的形式加入请求了。但是在一个网站中可以接受请求的地方非常多要对于每一个请求都加上 token 是很麻烦的并且很容易漏掉通常使用的方法就是在每次页面加载时使用 javascript 遍历整个 dom 树对于 dom 中所有的 a 和 form 标签后加入 token。这样可以解决大部分的请求但是对于在页面加载之后动态生成的 html 代码这种方法就没有作用还需要程序员在编码时手动添加 token。 该方法还有一个缺点是难以保证 token 本身的安全。特别是在一些论坛之类支持用户自己发表内容的网站黑客可以在上面发布自己个人网站的地址。由于系统也会在这个地址后面加上 token黑客可以在自己的网站上得到这个 token并马上就可以发动 CSRF 攻击。为了避免这一点系统可以在添加 token 的时候增加一个判断如果这个链接是链到自己本站的就在后面添加 token如果是通向外网则不加。不过即使这个 csrftoken 不以参数的形式附加在请求之中黑客的网站也同样可以通过 Referer 来得到这个 token 值以发动 CSRF 攻击。这也是一些用户喜欢手动关闭浏览器 Referer 功能的原因。 3在 HTTP 头中自定义属性并验证 这种方法也是使用 token 并进行验证和上一种方法不同的是这里并不是把 token 以参数的形式置于 HTTP 请求之中而是把它放到 HTTP 头中自定义的属性里。通过 XMLHttpRequest 这个类可以一次性给所有该类请求加上 csrftoken 这个 HTTP 头属性并把 token 值放入其中。这样解决了上种方法在请求中加入 token 的不便同时通过 XMLHttpRequest 请求的地址不会被记录到浏览器的地址栏也不用担心 token 会透过 Referer 泄露到其他网站中去。 五、CSRF跨站请求伪造详解
CSRFCross-Site Request Forgery跨站请求伪造是一种常见的网络攻击攻击者通过诱导受害者访问恶意网站或点击恶意链接 将恶意请求发送到目标网站上利用受害者在目标网站上已登录的身份来执行某些操作从而达到攻击的目的。
举个例子 假设受害者在一家网银网站上登录账户然后继续浏览其他网页。同时攻击者通过电子邮件等方式向受害者发送了一封包含恶意链接的邮件。当受害者点击该链接时潜在的危险就会变得非常现实。该链接指向一个由攻击者操纵的网站该网站上的恶意代码会自动向网银网站发送一个请求请求转账到攻击者的账户。由于受害者在网银网站中已经登录所以该请求会被认为是合法的这样攻击者就可以成功地进行转账操作。
要保护自己免受CSRF攻击网站开发者可以采取以下措施 使用CSRF令牌 在用户的请求中添加随机生成的令牌并将该令牌保存在用户会话中。每次提交请求时都会验证该令牌以确保请求是合法的。 启用SameSite属性 将Cookie的SameSite属性设置为Strict或Lax以限制跨站请求。这可以在一定程度上缓解CSRF攻击。 严格验证请求来源 服务器端可以验证请求的来源是否为预期的网站域名例如检查HTTP Refere头部 *使用验证码在敏感操作如转账、更改密码等上使用验证码增加用户身份验证的防护 六、CSRF跨站请求伪造 我们可以通过模拟一下钓鱼网站的操作来测试首先在一台计算机上面设置两个服务端不同的端口启动钓鱼网站提交地址改为正规网站。不过首先需要给中间件django.middleware.csrf.CsrfViewMiddleware注释掉 下面就简单的做一个基于form表单的post请求的大概转账功能的例子
1. 首先先搭建一个正规网站的转账功能(简略版) 配置urls.py路由设置from app import viewsurlpatterns [path(admin/, admin.site.urls),path(index/, views.index),]配置views.py视图from django.shortcuts import render,HttpResponse,redirectdef index(request):if request.method POST:username request.POST.get(username)target_user request.POST.get(target_user)money request.POST.get(money)print(f用户{username}给用户{target_user}转账了{money}元)return render(request,index.html)配置template模版层HTML页面!DOCTYPE htmlhtml langenheadmeta charsetUTF-8titleTitle/titlescript srchttps://cdn.bootcdn.net/ajax/libs/jquery/3.7.1/jquery.min.js/scriptlink hrefhttps://cdn.bootcdn.net/ajax/libs/twitter-bootstrap/3.4.1/css/bootstrap.min.css relstylesheetscript srchttps://cdn.bootcdn.net/ajax/libs/twitter-bootstrap/3.4.1/js/bootstrap.min.js/script/headbodydiv classcontainerdiv classrowdiv classcol-md-8 col-md-offset-2form action methodposth1 classtext-center转账页面/h1pusername: input typetext nameusername classform-control/pptarget_user: input typetext nametarget_user classform-control/ppmoneyinput typenumber namemoney classform-control/pinput typesubmit value提交 classbtn btn-block btn-success/form/div/div/div/body/html然后我们输入一下转账用户和被转账用户信息加转账金额试试看。 结果可以看到服务端是可以收到请求数据的。 2. 在搭建一个钓鱼网站直接仿照正规网站一模一样。这里路由层就不多写了一模一样即可
视图层可以修改一点点也可以原封不动都行 视图层也是一样当然你可以看把那些获取的操作去掉只需要能让访问到URL地址即可def index(request):return render(request,index.html)注意记得把端口号更改到别的端口因为我们是在模拟所以避免端口冲突起不起来我就设置一个8001端口下图是修改端口号的操作 最后就是模型层的HTML文件需要调整一些 template模版层HTML!DOCTYPE htmlhtml langenheadmeta charsetUTF-8titleTitle/titlescript srchttps://cdn.bootcdn.net/ajax/libs/jquery/3.7.1/jquery.min.js/scriptlink hrefhttps://cdn.bootcdn.net/ajax/libs/twitter-bootstrap/3.4.1/css/bootstrap.min.css relstylesheetscript srchttps://cdn.bootcdn.net/ajax/libs/twitter-bootstrap/3.4.1/js/bootstrap.min.js/script/headbodydiv classcontainerdiv classrowdiv classcol-md-8 col-md-offset-2form actionhttp://127.0.0.1:8000/index/ methodposth1 classtext-center转账页面/h1pusername: input typetext nameusername classform-control/pptarget_user: input typetext classform-controlinput typetext nametarget_user value盗取者ankn styledisplay:none; classform-control/ppmoneyinput typenumber namemoney classform-control/pinput typesubmit value提交 classbtn btn-block btn-success/form/div/div/div/body/html我们知道使用post请求提交数据的时候需要在标签里面写入name属性否则无法提交到后端。 来试试效果吧我们打开钓鱼网站的URL地址后写入转账者账户和被转账者账户然后提交。
结果可以看到正规网站收到了转账者申请转入盗取者ankn一笔钱 从上述案例可以看到钓鱼网站直接给正规网站发送了请求那么我们该让正规网站区分是否是钓鱼网站发送的请求呢我们可以使用CSRF校验策略 七、CSRF相关校验策略 CSRF校验策略可以让我们在访问官方网站时我们需要访问一些核心页面(post请求)的时候会给核心页面(post请求)做唯一的标识当核心页面朝官方网站发送的请求时官方会根据唯一标识做判断没有标识则有可能是恶意网站。 CSRF策略通过在返回的页面上添加一个独一无二的标识信息从标识信息中查看返回的信息是否一致如果不一样说明有人截取了该消息正规网站发现消息不一致则拒绝接受此现象叫做403Forbidden与此相关的策略就是我们中间件之前呗注释掉的一行代码MIDDLEWARE [django.middleware.csrf.CsrfViewMiddleware] 一、form表单CSRF策略 form表单csrf策略在form表单内部添加{% csrf_token %}eg:div classcontainerdiv classrowdiv classcol-md-8 col-md-offset-2form action methodposth1 classtext-center真正的转账页面/h1{% csrf_token %}pusername: input typetext nameusername classform-control/pptarget_user: input typetext nametarget_user classform-control/ppmoneyinput typenumber namemoney classform-control/pinput typesubmit value提交 classbtn btn-block btn-success/form/div/div/div现在我们在用上述制作的钓鱼网站试试能不能提交请求到正规网站。 可以看到假冒的提交请求已经报403Forbidden错误了。我们在回到正规转账服务端看看是否接收到了转账成功请求数据。 可以看到是被拦截了因为正规转账页面设置了CSRF_Token它会在后端服务器在渲染表单时生成一个CSRF_Token并将其存储在会话中或者其他方式关联到当前用户。当用户提交表单时前端将CSRF_Token的值包含在请求中。后端在验证表单数据时检查请求中的CSRF_Token是否与存储的Token匹配如果不匹配则拒绝请求。 总结form表单中进行CSRF校验会进行
添加CSRF Token字段 在form表单中添加一个隐藏字段用于存储CSRF Token的值。后端服务器在渲染表单时生成一个CSRF Token并将其存储在会话中或者以其他方式关联到当前用户。当用户提交表单时前端将CSRF Token的值包含在请求中。后端在验证表单数据时检查请求中的CSRF Token是否与存储的Token匹配如果不匹配则拒绝请求。 设置Cookie 后端服务器在渲染表单时在客户端设置一个包含随机生成的CSRF Token的Cookie。当用户提交表单时表单数据会被一同发送到服务器并自动包含该Cookie。后端在验证表单数据时检查请求中的CSRF Token是否与Cookie中的值匹配如果不匹配则拒绝请求。 双重Cookie校验 后端服务器在渲染表单时在Cookie中设置一个随机生成的CSRF Token并将其存储在会话中或以其他方式关联到当前用户。当用户提交表单时表单数据会被一同发送到服务器请求头或请求参数中携带一个包含CSRF Token的自定义字段。后端在验证表单数据时同时检查请求中的CSRF Token和Cookie中的值是否匹配如果不匹配则拒绝请求。 二、Ajax请求CSRF策略
方式一
利用标签查找获取页面上的随机字符串键必须叫csrfmiddlewaretoken 先编写csrf模板语法 然后利用标签查找和值获取 手动添加 需要添加 {% csrf_token %}div classcontainerdiv classrowdiv classcol-md-8 col-md-offset-2form action methodposth1 classtext-center转账页面/h1{% csrf_token %}pusername: input typetext nameusername classform-control/pptarget_user: input typetext nametarget_user classform-control/ppmoneyinput typenumber namemoney classform-control/p/formbutton classbtn btn-block btn-success提交/button/div/div/divscript$(.btn).click(function (){$.ajax({url:,type:post,{#利用标签查找获取页面上的随机字符串#}data:{csrfmiddlewaretoken:$(input[namecsrfmiddleewaretoken]).val()},success:function(args){}})})/script方式二
利用模板语法进行快捷引入 script$(.btn).click(function (){$.ajax({url:,type:post,{#利用模版语法自动获取(一定要用引号引起来)#}data:{csrfmiddlewaretoken:{{ csrf_token }}},success:function(args){}})})/script方式三
定义一个js文件并引入导入该配置文件之前需要先导入jQuery因为这个配置文件内的内容是基于jQuery来实现的 官网提供的https://docs.djangoproject.com/en/1.11/ref/csrf/ 直接引入一个js脚本即可(官网提供的)function getCookie(name) {var cookieValue null;if (document.cookie document.cookie ! ) {var cookies document.cookie.split(;);for (var i 0; i cookies.length; i) {var cookie jQuery.trim(cookies[i]);// Does this cookie string begin with the name we want?if (cookie.substring(0, name.length 1) (name )) {cookieValue decodeURIComponent(cookie.substring(name.length 1));break;}}}return cookieValue;}var csrftoken getCookie(csrftoken);function csrfSafeMethod(method) {// these HTTP methods do not require CSRF protectionreturn (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));}$.ajaxSetup({beforeSend: function (xhr, settings) {if (!csrfSafeMethod(settings.type) !this.crossDomain) {xhr.setRequestHeader(X-CSRFToken, csrftoken);}}});将上述的文件配置到项目的静态文件中,在html页面上通过导入该文件即可自动帮我们解决ajax提交post数据时校验csrf_token的问题导入配置文件必须先导入jQuery因为上述文件的内容时基于jQuery来实现的 script$(.btn).click(function (){$.ajax({url:,type:post,{#利用模版语法自动获取(一定要用引号引起来)#}data:{},success:function(args){}})})/script八、CSRF装饰器相关操作 CSRF是一个唯一标识只有在进行第二次请求的时候才会去校验如get请求就不会校验校验的位置在settings里面就是post请求注释掉的哪个位置MIDDLEWARE [django.middleware.csrf.CsrfViewMiddleware] 当我们有不一样的要求时
整个django项目都校验CSRF但是某些个视图函数/类不想校验整个django项目都不校验CSRF但是某些个视图函数/类需要校验
这个时候就需要使用到Django提供的两个装饰器 from django.views.decorators.csrf import csrf_protect,csrf_exemptcsrf_protect表示检验csrf csrf_exmpt表示不检验csrfcsrf_protect装饰器 csrf_protect装饰器用于需要进行CSRF保护的视图函数或类视图。当一个视图呗csrf_protect装饰器修饰时Django会对该视图接收到的所有POST、PUT、DELETE等非安全HTTP方法的请求进行CSRF校验。如果请求中没有有效的CSRF令牌或令牌校验失败Django将返回403 Forbidden响应。 csrf_exempt装饰器 csrf_exempt装饰器用于不需要进行CSRF保护的视图函数或类视图。当一个视图被csrf_exempt装饰器修饰时Django将不会对该视图接收到的任何请求进行CSRF校验。这个装饰器主要用于一些特殊情况比如与第三方系统进行集成、开发API接口等。 FBV添加装饰器方式 与正常函数添加装饰器一致 views.py视图层from django.views.decorators.csrf import csrf_protect,csrf_exempt# csrf_exempt # 全局csrf校验时该装饰器作用是不校验此函数csrf_protect # 注释掉csrf该装饰器还是会校验此函数def mys(request):if request.method POST:return HttpResponse(okok)return render(request,login.html)templates模版层div classcontainerdiv classrowdiv classcol-md-8 col-md-offset-2h1 classtext-center登录页面/h1hrform action methodpostpusernameinput typetext classform-control nameusername/pppasswordinput typepassword classform-control namepassword/pinput typesubmit value登录 classbtn btn-block btn-success/form/div/div
/div局部禁用CSRF 在MIDDLEWARE中间件里面的CSRF中间件代表全局启用只要接收处理POST请求必须校验请求里面的CSRF但是我们也可以局部禁用掉CSRF的处理也就是某个视图函数处理POST请求不需要校验CSRF csrf_exemptdef test(reqeust):return HttpResponse(okok)此时就算开启了CSRF校验中间件那么我们这个视图函数还是可以避免CSRF校验不携带相关的token值也是可以访问的。 局部启用CSRF 当我们在MIDDLEWARE中间件注释掉了CSRF相关的中间件那么就代表全局禁用了CSRF但是Django依旧提供给了我们针对某块区域启用CSRF校验的方法。 csrf_protectdef test(reqeust):return HttpResponse(okok)此时就算不开始CSRF校验中间件我们这个视图函数还是需要提交POST请求时携带csrf相关的token且必须是由当前服务端生成响应的才合法。 当我们没有注释掉csrf校验中间件的时候可以在函数头上加上 csrf_exempt 忽视校验 当我们注释掉csrf校验中间件的时候可以在函数头上加上 csrf_protect 强制启动校验 CBV添加装饰器的多种方式 与正常情况不一致需要引入method_decorator模块 from django.views import Viewfrom django.utils.decorators import method_decorator # 引入模块# method_decorator(csrf_protect,namepost) # 方式1单独生效 强制启动校验class my(View):# method_decorator(csrf_protect) # 方式2整个类中生效 强制启动校验# method_decorator(csrf_exempt) # 忽视校验def dispatch(self, request, *args, **kwargs):return super().dispatch(request,*args,**kwargs)# method_decorator(csrf_protect) 方式3单独生效 强制启动校验def post(self,request):return HttpResponse(xxxxx)注意有一个装饰器是特例只能由一种添加方法.csrf_exempt只有在dispatch方法添加才会生效 from django.views import Viewfrom django.utils.decorators import method_decorator # 引入模块class my(View):# method_decorator(csrf_exempt) # 忽视校验def dispatch(self, request, *args, **kwargs):return super().dispatch(request,*args,**kwargs)def post(self,request):return HttpResponse(xxxxx)
