CSRF
1、概述
CSRF(Cross Site Request Forgery)跨站点伪造请求,举例来讲,某个恶意的网站上有一个指向你的网站的链接,如果某个用户已经登录到你的网站上了,那么当这个用户点击这个恶意网站上的那个链接时,就会向你的网站发来一个请求,你的网站会以为这个请求是用户自己发来的,其实呢,这个请求是那个恶意网站伪造的。
为了避免上面情况的出现,Django引用了CSRF防护机制;Django第一次响应来自某个客户端的请求时,会在服务器端随机生成一个 token,并把这个 token 放在 cookie 里。然后每次 POST 请求都会带上这个 token,这样就能避免被 CSRF 攻击。如果POST请求中没有token随机字符串,则返回403拒绝服务
- 在返回的 HTTP 响应的 cookie 里,django 会为你添加一个 csrftoken 字段,其值为一个自动生成的 token
- 在所有的 POST 表单时,必须包含一个 csrfmiddlewaretoken 字段 (只需要在模板里加一个 tag, django 就会自动帮你生成,见下面)
- 在处理 POST 请求之前,django 会验证这个请求的 cookie 里的 csrftoken 字段的值和提交的表单里的 csrfmiddlewaretoken 字段的值是否一样。如果一样,则表明这是一个合法的请求,否则,这个请求可能是来自于别人的 csrf 攻击,返回 403 Forbidden。
- 在所有 ajax POST 请求里,添加一个 X-CSRFTOKEN header,其值为 cookie 里的 csrftoken 的值
下面我们需要在settings.py中把中间件django.middleware.csrf.CsrfViewMiddleware启用:
MIDDLEWARE = [ 'django.middleware.csrf.CsrfViewMiddleware', ]
局部使用方式:
- @csrf_protect,为当前函数强制设置防跨站请求伪造功能,即便settings中没有设置全局中间件。
- @csrf_exempt,取消当前函数防跨站请求伪造功能,即便settings中设置了全局中间件。
CBA中的使用方式:
from django.utils.decorators import method_decorator class AssetView(View): @method_decorator(csrf_exempt) #必须加到dispatch上,get、post上都不好使 def dispatch(self, request, *args, **kwargs): return super(AssetView, self).dispatch(request, *args, **kwargs)
2、Form表单提交POST请求
处理文件:
from django.shortcuts import render,HttpResponse,redirect # Create your views here. def login(request): if request.method == 'GET': return render(request,'login.html') elif request.method == 'POST': user = request.POST.get('user') pwd = request.POST.get('pwd') if user == 'root' and pwd == "123": # 生成随机字符串 # 写到用户浏览器Cookie # 保存到Session中 # 在随机字符串对应的字典中设置相关内容... request.session['username'] = user request.session['if_login'] = True #可不加 直接判断username也可以 if request.POST.get('session') == '1': #单独设置超时时间,当前session生效,不影响全局 request.session.set_expiry(10) #10秒 return redirect('/index/') else: return redirect('/login/') def index(request): # 获取当前用户的随机字符串 # 根据随机字符串获取对应信息 if request.session.get('if_login'): return render(request, 'index.html') else: return redirect('/login/')
login.html文件:
{# 添加{% csrf_token %} #} <!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <form action="/login/" method="post"> {% csrf_token %} <input type="text" name="user" /> <input type="text" name="pwd" /> <input type="checkbox" name="session" value="1"/> 保存1个月 <input type="submit" value="提交" /> </form> </body> </html>
3、Ajax提交POST请求
处理文件:
from django.shortcuts import render,HttpResponse,redirect # Create your views here. def login(request): if request.method == 'GET': return render(request,'login.html') elif request.method == 'POST': user = request.POST.get('user') pwd = request.POST.get('pwd') if user == 'root' and pwd == "123": # 生成随机字符串 # 写到用户浏览器Cookie # 保存到Session中 # 在随机字符串对应的字典中设置相关内容... request.session['username'] = user request.session['if_login'] = True #可不加 直接判断username也可以 if request.POST.get('session') == '1': #单独设置超时时间,当前session生效,不影响全局 request.session.set_expiry(10) #10秒 return redirect('/index/') else: return redirect('/login/') def index(request): # 获取当前用户的随机字符串 # 根据随机字符串获取对应信息 if request.session.get('if_login'): return render(request, 'index.html') else: return redirect('/login/')
login.html文件:
{# Ajax提交时要添加headers值 #} <!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <form action="/login/" method="post"> {% csrf_token %} <input type="text" name="user" /> <input type="text" name="pwd" /> <input type="checkbox" name="session" value="1"/> 保存1个月 <input id='btn' type="button" value="Ajax提交" /> </form> <script src="/static/jquery-1.12.4.js"></script> <script src="/static/jquery.cookie.js"></script> <script> $(function () { $('#btn').click(function () { $.ajax({ url:'/login/', type:'POST', data:{'user':'root','pwd':'123'}, headers:{'X-CSRFtoken':$.cookie('csrftoken')}, success:function (arg) { } }) }) }) </script> </body> </html>
上面html文件点击提交后,执行成功;但是往往一个程序不止一个Ajax请求,所以我们需要对每个Ajax请求都添加headers请求头,这样未免增加很多工作量;这时就需要做全局设置,不必每个都添加请求头
{# Ajax提交时全局生效 #} <!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <form action="/login/" method="post"> {% csrf_token %} <input type="text" name="user" /> <input type="text" name="pwd" /> <input type="checkbox" name="session" value="1"/> 保存1个月 <input id='btn' type="button" value="Ajax提交" /> </form> <script src="/static/jquery-1.12.4.js"></script> <script src="/static/jquery.cookie.js"></script> <script> $(function () { {# 全局配置,所有Ajax请求都先执行下面操作#} $.ajaxSetup({ beforeSend:function (xhr,settings) { xhr.setRequestHeader('X-CSRFtoken',$.cookie('csrftoken')); } }); $('#btn').click(function () { $.ajax({ url:'/login/', type:'POST', data:{'user':'root','pwd':'123'}, success:function (arg) { } }) }) }) </script> </body> </html>
<!DOCTYPE html> <html> <head lang="en"> <meta charset="UTF-8"> <title></title> </head> <body> {% csrf_token %} <input type="button" onclick="Do();" value="Do it"/> <script src="/static/plugin/jquery/jquery-1.8.0.js"></script> <script src="/static/plugin/jquery/jquery.cookie.js"></script> <script type="text/javascript"> var csrftoken = $.cookie('csrftoken'); function csrfSafeMethod(method) { // these HTTP methods do not require CSRF protection return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method)); } $.ajaxSetup({ beforeSend: function(xhr, settings) { if (!csrfSafeMethod(settings.type) && !this.crossDomain) { xhr.setRequestHeader("X-CSRFToken", csrftoken); } } }); function Do(){ $.ajax({ url:"/app01/test/", data:{id:1}, type:'POST', success:function(data){ console.log(data); } }); } </script> </body> </html>
中间件
1、概述
django 中的中间件(middleware),在django中,中间件其实就是一个类,在请求到来和结束后,django会根据自己的规则在合适的时机执行中间件中相应的方法;在django项目的settings模块中,有一个 MIDDLEWARE 变量,其中每一个元素就是一个中间件,如下:
MIDDLEWARE = [ 'django.middleware.security.SecurityMiddleware', 'django.contrib.sessions.middleware.SessionMiddleware', 'django.middleware.common.CommonMiddleware', 'django.middleware.csrf.CsrfViewMiddleware', 'django.contrib.auth.middleware.AuthenticationMiddleware', 'django.contrib.messages.middleware.MessageMiddleware', 'django.middleware.clickjacking.XFrameOptionsMiddleware', ]
中间件中可以定义四个方法,分别是:
- process_request(self,request) 请求来时执行,不写时直接跳过,执行下一个中间件;当有return HttpResonse时,下面中间件不再执行
- process_view(self, request, callback, callback_args, callback_kwargs) 先执行process_request,执行完后,再从起始执行proces_view
- process_template_response(self,request,response) 如果Views中的函数返回的对象中,具有render方法,此方法执行
- process_exception(self, request, exception) 异常触发执行,当views.py函数执行出错后,此方法执行;出错时,最低层的exception优先级最高,执行最近的一个,然后执行respnse方法
- process_response(self, request, response) 请求返回时执行,不写时直接跳过,执行下一个中间件;当有return HttpResonse时,会替换原数据
以上方法的返回值可以是None和HttpResonse对象,如果是None,则继续按照django定义的规则向下执行,如果是HttpResonse对象,则直接将该对象返回给用户
注:Django版本1.10之后 直接执行同级的process_response,而不是从最低层process_response开始执行
2、自定义中间件
Django主目录下创建middleware目录(名字任意),在目录下创建m.py文件
① process_request、process_response
在文件中自定义中间件类:
from django.utils.deprecation import MiddlewareMixin from django.shortcuts import HttpResponse class Row1(MiddlewareMixin): def process_request(self,request): print("王森1") # return HttpResponse("DDDD") def process_response(self,request,response): print("扛把子1") return response class Row2(MiddlewareMixin): def process_request(self,request): print("王森2") def process_response(self, request, response): print("扛把子3") return response class Row3(MiddlewareMixin): def process_request(self,request): print("王森3") def process_response(self, request, response): print("扛把子3") return response
在settings文件中注册中间件:
from django.middleware.csrf import CsrfViewMiddleware MIDDLEWARE = [ 'django.middleware.security.SecurityMiddleware', 'django.contrib.sessions.middleware.SessionMiddleware', 'django.middleware.common.CommonMiddleware', 'django.middleware.csrf.CsrfViewMiddleware', 'django.contrib.auth.middleware.AuthenticationMiddleware', 'django.contrib.messages.middleware.MessageMiddleware', 'django.middleware.clickjacking.XFrameOptionsMiddleware', 'middleware.m.Row1', 'middleware.m.Row2', 'middleware.m.Row3',
执行打印:
王森1
王森2
王森3
走你
扛把子3
扛把子3
扛把子1
② process_view
在文件中自定义中间件类:
from django.utils.deprecation import MiddlewareMixin from django.shortcuts import HttpResponse class Row1(MiddlewareMixin): def process_request(self,request): print("王森1") def process_view(self, request, view_func, view_func_args, view_func_kwargs): print("James1") def process_response(self,request,response): print("扛把子1") return response class Row2(MiddlewareMixin): def process_request(self,request): print("王森2") def process_view(self, request, view_func, view_func_args, view_func_kwargs): print("James2") def process_response(self, request, response): print("扛把子3") return response class Row3(MiddlewareMixin): def process_request(self,request): print("王森3") def process_view(self, request, view_func, view_func_args, view_func_kwargs): print("James3") def process_response(self, request, response): print("扛把子3") return response
执行打印:
王森1
王森2
王森3
James1
James2
James3
走你
扛把子3
扛把子3
扛把子1
《第二十二章》