Django中间件

一、CBV加装饰器的三种方式

1、在类上面加，需要通过name参数指定被装饰的方法

2、直接在装饰方法上

3、重写dispatch方法，直接给dispatch装（该类中所有的方法都被装饰）

from django.shortcuts import render, HttpResponse, redirect
from django.views import View
from django.utils.decorators import method_decorator  # 给CBV加装饰器
def login(request):
    if request.method == 'POST':
        username = request.POST.get('username')
        password = request.POST.get('password')
        if username == 'jason' and password == '123':
            request.session['username'] = 'jason'
            return redirect('/home/')
    return render(request, 'login.html')

from functools import wraps
def login_auth(func):
    @wraps(func)
    def inner(request, *args, **kwargs):
        if request.session.get('name'):
            return func(request, *args, **kwargs)
        return redirect('/login/')
    return inner

@method_decorator(login_auth, name='get')   # ②给CBV加装饰器的第二种方式，name参数必须指定
class MyHome(View):
    @method_decorator(login_auth)   # ③给CBV加装饰器的第三种方式。get、post方法都会被装饰
    def dispatch(self, request, *args, **kwargs):
        super().dispatch(request, *args, **kwargs)

    @method_decorator(login_auth)    # ①给CBV加装饰器的第一种方式
    def get(self, request):
        return HttpResponse('get')

    def post(self, request):
        return HttpResponse('post')

二、django中间件

django请求生命周期

1、默认中间件

django默认有七个中间件，但是django暴露给用户可以自定义中间件并且里面可以写五种方法

重要：
1.请求来的时候会依次执行每一个中间件里面的process_request方法(如果没有直接通过)
2.响应走的时候会依次执行每一个中间件里面的process_response方法(如果没有直接通过)
    
django中间件能够帮我实现 网站全局的身份验证，黑名单，白名单，访问频率限制，反爬相关：django用来帮你全局相关的功能校验

2、中间件的五种方法

from django.utils.deprecation import MiddlewareMixin
from django.shortcuts import HttpResponse
class MyMiddleware(MiddlewareMixin):
    def process_request(self, request):
        print('我是第一个自定义中间件里面的process_request方法')
        # return HttpResponse('哈哈')

    def process_response(self, request, response):
        print('我是第一个自定义中间件里面的process_response方法')
        return response

    def process_view(self, request, view_func, view_args, view_kwargs):
        print('我是第一个自定义中间件里面的process_view方法')
        print(view_func.__name__, view_func)
        # return HttpResponse('hello')

    def process_exception(self,request,exception):
        print('我是第一个自定义中间件里面的process_exception方法')
        print(exception)

    def process_template_response(self,request,response):
        print('我是第一个自定义中间件里面的process_template_response方法')
        return response


class MyMiddleware1(MiddlewareMixin):
    def process_request(self, request):
        print('我是第二个自定义中间件里面的process_request方法')

    def process_response(self, request, response):
        print('我是第二个自定义中间件里面的process_response方法')
        return response

    def process_view(self, request, view_func, view_args, view_kwargs):
        print('我是第二个自定义中间件里面的process_view方法')
        print(view_func.__name__, view_func)

    def process_exception(self,request,exception):
        print('我是第二个自定义中间件里面的process_exception方法')
        print(exception)

    def process_template_response(self,request,response):
        print('我是第二个自定义中间件里面的process_template_response方法')
        return response

自定义中间件：
①新建一个任意名字的文件夹(如：mymiddleware)，里面新建一个任意名字py文件(如：md)
②导入模块:from django.utils.deprecation import MiddlewareMixin
③在settings里配置：
　　　　　　'应用名.文件夹名.文件名.类名'
　　　　　　如：app01.mymiddleware.md.MyMiddleware

①process_request：请求来的时候从上往下依次执行每一个中间件里面的process_request

②process_response：响应走的时候会从下往上依次执行每一个中间件里面的process_response方法

 

③process_view：路由匹配成功执行视图之前自动触发(从上往下依次执行)

④process_exception:当视图函数报错了，自动触发(从下往上依次执行)

⑤process_template_response:视图函数返回的对象有一个render()方法，(从下往上依次执行)

 

 

三、csrf跨站请求伪造

csrf：跨站请求伪造。举例来讲，某个恶意的网站上有一个指向你的网站的链接，如果
某个用户已经登录到你的网站上了，那么当这个用户点击这个恶意网站上的那个链接时，就会向你的网站发来一个请求，
你的网站会以为这个请求是用户自己发来的，其实呢，这个请求是那个恶意网站伪造的。

避免：第一步：django第一次响应来自某个客户端的请求时,后端随机产生一个token值，把这个token保存在SESSION状态中;同时,后端把这个token放到cookie中交给前端页面；
第二步：下次前端需要发起请求（比如发帖）的时候把这个token值加入到请求数据或者头信息中,一起传给后端；Cookies:{csrftoken:xxxxx}
第三步：后端校验前端请求带过来的token和SESSION里的token是否一致。

解决：要启用 django.middleware.csrf.CsrfViewMiddleware 这个中间件
再次，在所有的 POST 表单元素时，需要加上一个 {% csrf_token %}

xss：跨站脚本攻击。Web攻击中最常见的攻击方法之一，
它是通过对网页注入可执行代码且成功地被浏览器 执行，达到攻击的目的，
形成了一次有效XSS攻击，一旦攻击成功，它可以获取用户的联系人列表，
然后向联系人发送虚假诈骗信息，可以删除用户的日志等等，
有时候还和其他攻击方式同时实 施比如SQL注入攻击服务器和数据库、Click劫持、
相对链接劫持等实施钓鱼，它带来的危害是巨 大的，是web安全的头号大敌。

解决：一种方法是在表单提交或者url参数传递前，对需要的参数进行过滤,请看如下XSS过滤工具类代码
过滤用户输入的 检查用户输入的内容中是否有非法内容

def transfer(request):
    if request.method == 'POST':
        username = request.POST.get("username")
        money = request.POST.get('money')
        others = request.POST.get('others')
        print('%s 给 %s 转了 %s' %(username, others, money))
    return render(request, 'transfer.html')


from django.views.decorators.csrf import csrf_exempt,csrf_protect
@csrf_exempt   # 装饰的函数不进行中间件中csrf校验
def index1(request):
    return HttpResponse('ok')

@csrf_protect  # 装饰的函数进行中间件中csrf校验，即使注释也会报403错误
def index2(request):
    return HttpResponse('ok')

<form action="/index2/" method="post">
    {% csrf_token %}
    <p>username:<input type="text" name="username"></p>
    <p>money:<input type="text" name="money"></p>
    <p>others:<input type="text" name="others"></p>
    <input type="submit">
</form>

 1、跨站强求伪造

<form action="" method="post">
    {% csrf_token %}    {# 跨站请求伪造，不用注释中间件#}
    <p>username:<input type="text" name="username"></p>
    <p>money:<input type="text" name="money"></p>
    <p>others:<input type="text" name="others"></p>
    <input type="submit">
</form>

2、是否校验csrf

from django.views.decorators.csrf import csrf_exempt,csrf_protect   # 导入校验的模块
@csrf_exempt  # 不校验csrf
def index1(request):
    return HttpResponse('ok')

@csrf_protect  # 校验csrf
def index2(request):
    return HttpResponse('ok')

3、csrf装饰CBV需要注意(******)

①csrf_protect：三种方式（跟正常的CBV装饰器一样）

from django.utils.decorators import method_decorator   # 导入装饰器模块

@method_decorator(csrf_protect, name='post')  # ②csrf装饰CBV，方法二（指定name）
class Index3(View):
    @method_decorator(csrf_protect)  # ③csrf装饰CBV，方法二(装饰所有的)
    def dispatch(self, request, *args, **kwargs):
        super().dispatch(request, *args, **kwargs)

    def get(self,request):
        return HttpResponse('get')

    @method_decorator(csrf_protect)    # ①csrf装饰CBV，方法一
    def post(self,request):
        return HttpResponse('post')

②csrf_exempt：只能有下面两种方式（其实都是给dispatch加）

from django.utils.decorators import method_decorator

@method_decorator(csrf_exempt, name='dispatch')  # 第一种
class Index3(View):
    @method_decorator(csrf_exempt)   # 第二种  
    def dispatch(self, request, *args, **kwargs):
        super().dispatch(request, *args, **kwargs)

    def get(self,request):
        return HttpResponse('get')

    def post(self,request):
        return HttpResponse('post')