跨站请求伪造(csrf)中间件整理
一. CSRF中间件
字面意思跨站请求伪造; 即模仿个请求朝服务器发送,django中对跨站伪造的请求有相应的校验
from django.views.decorators.csrf import csrf_exempt, csrf_protect
csrf_exempt 给单个视图排除校验,以装饰器形式给某个视图加上,则该视图就不会进行校验
局部禁用的前提是全局有校验
csrf_protect 给单个视图必须校验,以装饰器形式给某个视图加上,则该视图就必须进行校验
即使注释调settings中的46行也必须得校验. 局部使用的前提是全局没有校验
二. csrt源码解析其校验的本质大概流程是:
1. 在process_request内,从请求的cookie中获取csrftoken的值,保存为scrf_token
2. 在process_view内:
> 如果视图函数加上了csrf_exempt的装饰器 不做校验
> 如果请求方式是'GET', 'HEAD', 'OPTIONS', 'TRACE' 也不做校验
> 其它的请求方式就要进行校验了,校验的实质如下:
1.从request.POST中获取csrfmiddlewaretoken对象的值
2.从请求头中获取csrfmiddlewaretoken对象的值
3.用获取到的csrfmiddlewaretoken的值和csrftoken的值做比较,如果校验成功,流程继续;校验不成功
则拒绝; 1和2中只要有1个能获取到csrfmiddlewaretoken的值即可,不用两个中都有.
总结: 两点要求,1.浏览器必须带有cookie; 2. post请求体中或请求头中要能获取到csrfmiddlewaretoken值
三.针对以上总结的两点,做相应的处理,处理办法如下
确保浏览器带有cookie的两种方式:
> 在form表单内加入{% csrf_token %}
> 不使用{% csrf_token %},导入from django.views.decorators.csrf import ensure_csrf_cookie
将ensure_csrf_cookie以装饰器形式加在视图上,保证返回的相应有cookie
确保能从post请求体中或请求头信息中获取到csrfmiddlewaretokende的方式:
> 页面中加入{% csrf_token %}标签
1.获取标签值,加入post请求体中, csrfmiddlewaretoken: $('[name="csrfmiddlewaretoken"]').val()
2.获取标签值,加入post请求头中, headers: {"X-CSRFToken": $('[name="csrfmiddlewaretoken"]').val()}
> 上面1或2都是给单个的ajax请求加csrfmiddlewaretokende,这里再介绍个通过引入js文件形式
给全局所有ajax头部加入csrfmiddlewaretokende的办法,代码思路如下: (万能办法)
1.通过django官网提供的代码来实现,首先项目下static文件夹内新建js文件,复制以下代码:
2.以script标签在html页面导入新建的这个a.js文件, <script src=’/static/a.js’></script>
它的作用是给每个请求头信息上加crsfmiddlewaretoken信息
猜测: 引入js文件形式可同时让浏览器带cookie和让请求头带crsfmiddlewaretoken信息,因为使用
CBV写ajax文件上传时,html中没加{%csrf_token%},views中也没用ensure_csrf_token装饰器
四. js文件代码如下:
function getCookie(name) { var cookieValue = null; if (document.cookie && document.cookie !== '') { var cookies = document.cookie.split(';'); for (var i = 0; i < cookies.length; i++) { var cookie = jQuery.trim(cookies[i]); // Does this cookie string begin with the name we want? if (cookie.substring(0, name.length + 1) === (name + '=')) { cookieValue = decodeURIComponent(cookie.substring(name.length + 1)); break; } } } return cookieValue; } var csrftoken = getCookie('csrftoken'); function csrfSafeMethod(method) { // these HTTP methods do not require CSRF protection return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method)); } $.ajaxSetup({ beforeSend: function (xhr, settings) { if (!csrfSafeMethod(settings.type) && !this.crossDomain) { xhr.setRequestHeader("X-CSRFToken", csrftoken); } } });
跨站请求伪造(csrf)中间件整理的更多相关文章
- django之跨站请求伪造csrf
目录 跨站请求伪造 csrf 钓鱼网站 模拟实现 针对form表单 ajax请求 csrf相关的两个装饰器 跨站请求伪造 csrf 钓鱼网站 就类似于你搭建了一个跟银行一模一样的web页面 , 用户在 ...
- PHP安全编程:跨站请求伪造CSRF的防御(转)
跨站请求伪造(CSRF)是一种允许攻击者通过受害者发送任意HTTP请求的一类攻击方法.此处所指的受害者是一个不知情的同谋,所有的伪造请求都由他发起,而不是攻击者.这样,很你就很难确定哪些请求是属于跨站 ...
- 跨站请求伪造(CSRF)-简述
跨站请求伪造(CSRF)-简述 跨站请求伪造(英语:Cross-site request forgery),也被称为 one-click attack 或者 session riding,通常缩写为 ...
- 跨站请求伪造(CSRF)攻击原理解析:比你所想的更危险
跨站请求伪造(CSRF)攻击原理解析:比你所想的更危险 跨站请求伪造(Cross-Site Request Forgery)或许是最令人难以理解的一种攻击方式了,但也正因如此,它的危险性也被人们所低估 ...
- 跨站请求伪造 CSRF / XSRF<一:介绍>
跨站请求伪造(英语:Cross-site request forgery),也被称为 one-click attack 或者 session riding,通常缩写为 CSRF 或者 XSRF, 是一 ...
- 跨站请求伪造CSRF(Cross-site request forgery)
CSRF(Cross-site request forgery)跨站请求伪造,也被称为“One Click Attack”或者Session Riding,通常缩写为CSRF或者XSRF,是一种对网站 ...
- 跨站请求伪造(csrf)的防护手段
CSRF CSRF全拼为Cross Site Request Forgery,译为跨站请求伪造. CSRF指攻击者盗用了你的身份,以你的名义发送恶意请求. 造成的问题:个人隐私泄露以及财产安全. CS ...
- 跨站请求伪造CSRF:攻击与防御
CSRF是什么 (Cross Site Request Forgery, 跨站域请求伪造)是一种网络的攻击方式,它在 2007 年曾被列为互联网 20 大安全隐患之一,也被称为&quo ...
- 跨站请求伪造CSRF
CSRF是Cross Site Request Forgery的缩写,乍一看和XSS差不多的样子,但是其原理正好相反,XSS是利用合法用户获取其信息,而CSRF是伪造成合法用户发起请求. 在XSS危害 ...
随机推荐
- lucene中文学习地址推荐
Lucene原理与代码分析http://www.cnblogs.com/forfuture1978/category/300665.html Lucene5.5学习(1)-初尝Lucene全文检索引擎 ...
- 被遗忘的设计模式——空对象模式(Null Object Pattern)
GoF(四人帮)那本<设计模式 可复用面向对象软件的基础>可谓是设计模式方面的经典之作,其中介绍的23种设计模式, 也可谓是经典中的经典.但是,设计模式的种类绝不仅仅是这23种,除此之外还 ...
- sqlalchemy的cascades
http://docs.sqlalchemy.org/en/latest/orm/cascades.html class Order(Base): __tablename__ = 'order' it ...
- 笨办法学Python(二十四)
习题 24: 更多练习 你离这本书第一部分的结尾已经不远了,你应该已经具备了足够的 Python 基础知识,可以继续学习一些编程的原理了,但你应该做更多的练习.这个练习的内容比较长,它的目的是锻炼你的 ...
- ubuntu terminal copy paste
copy: ctrl + insert paste: shift + insert
- java研发常见问题总结2
1. String.StringBuffer与StringBuilder之间区别 关于这三个类在字符串处理中的位置不言而喻,那么他们到底有什么优缺点,到底什么时候该用谁呢?下面我们从以下几点说明一下 ...
- 小程序wx.request的POST方法的参数传输服务器接收不到
这是API里面的例子: 而实际这样,服务端拿到的是空值. 将header更改一下,application/x-www-form-urlencoded,则可以让服务器收到数据
- B. Qualifying Contest_排序
B. Qualifying Contest time limit per test 1 second memory limit per test 256 megabytes input standar ...
- 计算多项式Poj(1996)
题目链接:http://poj.org/problem?id=1996 思路: 刚开始打了个二维表,调了一个小时,爆内存了. #include <stdio.h> #include < ...
- next_permutation暴力搜索,POJ(3187)
题目链接:http://poj.org/problem?id=3187 解题报告: #include <stdio.h> #include <iostream> #includ ...