Django的CSRF防护机制

什么是CSRF？

　　CSRF(Cross-site request forgery), 中文名称：跨站请求伪造，也被称为：one click attack/session riding,缩写为：CSRF/XSRF

CSRF攻击过程

　　从上图可以看出，要完成一次CSRF攻击，受害者必须依次完成两个步骤：

　　　　1、登陆受信任的网站A，并在本地客户端（浏览器）产生Cookie；

　　　　2、在不退出A的情况下(准确的说是在访问A网站产生的Cookie不过期的情况下)，访问危险网站B;

Django 的CSRF防御机制

　　注：django框架只对来自客户端的post请求进行CSRF防御，get请求django默认是合法的请求

　　django 在第一次响应来自某个客户端的请求时，会在服务器端随机产生一个token，把这个token放在cookie里，然后每次

　　post请求都会携带这个token，这样就能避免CSRF攻击。

具体的实现方法

　　django通过中间件 django.middleware.csrf.CsrfViewMiddleware 来防止跨站请求伪造，而对于django中设置防止

跨站请求伪造功能分为全局设置和局部设置

全局：

　　中间件 django.middleware.csrf.CsrfViewMiddleware

　　注：中间件会在全局上进行防止post请求的CSRF攻击

局部：

　　1、@csrf_protect,为当前View视图函数强制设置防CSRF攻击，即便settings中没有设置全局的中间件

　　2、@csrf_exempt,取消当前View视图函数防止CSRF攻击，即便settings中设置了全局中间件（也可以在url中取消csrf防护）

　　注：from django.views.decorators.csrf import csrf_exempt, csrf_protect

具体应用

1、在from表单中附加csrftoken

前端
{% csrf_token %}
后端
view视图函数中设置返回值
#在渲染模块时，使用 RequestContext。RequestContext 会处理模板中{% csrf_token %} 这个 tag,从而自动为表单添加一个名为 csrfmiddlewaretoken 的 input标签

<input type="hidden" name="csrfmiddlewaretoken" value="{{ csrf_token }}">

return render_to_response('Account/Login.html',data,context_instance=RequestContext(request))　
或者

#使用render则会自动生成，不用ReqestContext

return render(request, 'xxx.html', data)

2、Ajax发送post请求

前端：

　　在进行post提交时，获取Cookie当中的csrftoken并在request请求中添加X-CSRFToken请求头，请求头的数据就是csrftoken。

　　通过$.ajaxSetup方法设置AJAX请求的默认参数选项，在每次ajax的POST请求时，添加X-CSRFToken请求头

<!DOCTYPE html>
<html>
<head lang="en">
    <meta charset="UTF-8">
    <title></title>
</head>
<body>
　
    <input type="button" onclick="Do();"  value="Do it"/>
  
    <script src="/static/plugin/jquery/jquery-1.8.0.js"></script>
    <script src="/static/plugin/jquery/jquery.cookie.js"></script>
    <script type="text/javascript">
        var csrftoken = $.cookie('csrftoken');
  
        function csrfSafeMethod(method) {
            // these HTTP methods do not require CSRF protection
            return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
        }
        $.ajaxSetup({
            beforeSend: function(xhr, settings) {
                if (!csrfSafeMethod(settings.type) && !this.crossDomain) {
                    xhr.setRequestHeader("X-CSRFToken", csrftoken);
                }
            }
        });
        function Do(){
  
            $.ajax({
                url:"/app01/test/",
                data:{id:1},
                type:'POST',
                success:function(data){
                    console.log(data);
                }
            });
  
        }
    </script>
</body>
</html>

后端

1.表单中添加{%csrf_token%}这个模板标签

<form id="comment_form" action="#"></form>
{% csrf_token %}   就是这个
<p>姓名: <input type="text" name="useranme" id="username"></p>
<p>内容: <textarea name="content" id="content" rows="5" cols="30"></textarea></p>
<p><input type="button", id="send" value="提交"></p>

2.ensure_csrf_cookie装饰器。

from django.shortcuts import render
from django.views.decorators.csrf import ensure_csrf_cookie

@ensure_csrf_cookie
def ajax_demo(request):
    return render(request, 'ajax_demo.html')