中间件

[TOC]

一、什么是中间件

中间件是介于request与response处理之间的一道处理过程，相对比较轻量级，并且在全局上改变django的输入与输出

二、中间件的作用

如果你想修改请求，例如被传送到view中的HttpRequest对象。或者你想修改view返回的HttpResponse对象，这些都可以通过中间件来实现。

可能你还想在view执行之前做一些操作，这种情况就可以用 middleware来实现。

Django默认的中间件：（在django项目的settings模块中，有一个 MIDDLEWARE_CLASSES 变量，其中每一个元素就是一个中间件。每一个中间件都有具体的功能

MIDDLEWARE = [

    'django.middleware.security.SecurityMiddleware',

    'django.contrib.sessions.middleware.SessionMiddleware',

    'django.middleware.common.CommonMiddleware',

    'django.middleware.csrf.CsrfViewMiddleware',

    'django.contrib.auth.middleware.AuthenticationMiddleware',

    'django.contrib.messages.middleware.MessageMiddleware',

    'django.middleware.clickjacking.XFrameOptionsMiddleware',

]

三、中间件执行顺序

-process_request,从上往下执行

		如果retrun HttpResponse的对象,直接返回了

		如果retrun None ,继续往下走

-process_response,从下往上执行

		必须要retrun Httpresponse的对象

四、自定义中间件

1、导包

from django.utils.deprecation import MiddlewareMixin

2、定义类，继承MiddlewareMixin

在app01中创建一个py文件——mymiddelware

class Md1(MiddlewareMixin):

    def process_request(self,request):

        print("Md1请求")

		# 返回None的时候,继续往下走

        # 返回HttpRspons对象,直接返回,走自己的process_response

    def process_response(self,request,response):

        print("Md1返回")

        return response

class Md2(MiddlewareMixin):

    def process_request(self,request):

        print("Md2请求")

    def process_response(self,request,response):

        print("Md2返回")

        return response

3、在视图函数中定义一个函数

def index(request):

    print("view函数...")

    return HttpResponse("OK")

4、在settings的MIDDLEWARE中注册自定义的中间件

MIDDLEWARE = [

				'app01.mymiddelware.MyMiddleware1',

    			'app01.mymiddelware.MyMiddleware2',

				]

结果为

Md1请求

Md2请求

view函数...

Md2返回

Md1返回

五、中间件的方法

1、process_request

请求来的时候，会走该方法

def process_request(self,request):

2、process_response

响应回去的时候，会走该方法

 def process_response(self,request,response):

3、process_view

它应该返回None或一个HttpResponse对象。

如果返回None，Django将继续处理这个请求，执行任何其他中间件的process_view方法，然后在执行相应的视图。

如果它返回一个HttpResponse对象，Django不会调用适当的视图函数。它将执行中间件的process_response方法并将应用到该HttpResponse并返回结果

def process_view(self, request, view_func, view_args, view_kwargs):

# request是HttpRequest对象。

# view_func是Django即将使用的视图函数。 （它是实际的函数对象，而不是函数的名称作为字符串。）

# view_args是将传递给视图的位置参数的列表.

# view_kwargs是将传递给视图的关键字参数的字典。 view_args和view_kwargs都不包含第一个视图参数（request）。

4、process_exception

这个方法只有在视图函数中出现异常了才执行

5、process_template_response

该方法对视图函数返回值有要求，必须是一个含有render方法类的对象，才会执行此方法

六、CSRF——跨站请求伪造

1、什么是CSRF攻击

攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的

2、CSRF攻击原理

要完成一次CSRF攻击，受害者必须依次完成两个步骤：

　　1.登录受信任网站A，并在本地生成Cookie。

　　2.在不登出A的情况下，访问危险网站B。

3、CSRF攻击防范

1、通过refer

2、加一个随机字符串校验(加载请求的路径里,加载请求体中)

3、在请求头中加字符串校验

4、CSRF在Django中的应用

（1）在form表单中应用

<form action="" method="post">

    {% csrf_token %}

    <p>用户名：<input type="text" name="name"></p>

    <p>密码：<input type="text" name="password"></p>

    <p><input type="submit"></p>

</form>

（2）在Ajax中应用

放在data中

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <script src="/static/jquery-3.3.1.js"></script>

    <title>Title</title>

</head>

<body>

<form action="" method="post">

    {% csrf_token %}

    <p>用户名：<input type="text" name="name"></p>

    <p>密码：<input type="text" name="password" id="pwd"></p>

    <p><input type="submit"></p>

</form>

<button class="btn">点我</button>

</body>

<script>

    $(".btn").click(function () {

        $.ajax({

            url: '',

            type: 'post',

            data: {

                'name': $('[name="name"]').val(),

                'password': $("#pwd").val(),

                //

                'csrfmiddlewaretoken': $('[name="csrfmiddlewaretoken"]').val()

            },

            success: function (data) {

                console.log(data)

            }

        })

    })

</script>

</html>

放在cookie中

获取cookie：document.cookie

是一个字符串，可以自己用js切割，也可以用jquery的插件

获取cookie：$.cookie('csrftoken')

设置cookie：$.cookie('key','value')

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <script src="/static/jquery-3.3.1.js"></script>

    <script src="/static/jquery.cookie.js"></script>

    <title>Title</title>

</head>

<body>

<form action="" method="post">

    {% csrf_token %}

    <p>用户名：<input type="text" name="name"></p>

    <p>密码：<input type="text" name="password" id="pwd"></p>

    <p><input type="submit"></p>

</form>

<button class="btn">点我</button>

</body>

<script>

    $(".btn").click(function () {

        var token=$.cookie('csrftoken')

        //var token='{{ csrf_token }}'

        $.ajax({

            url: '',

            headers:{'X-CSRFToken':token},

            type: 'post',

            data: {

                'name': $('[name="name"]').val(),

                'password': $("#pwd").val(),

            },

            success: function (data) {

                console.log(data)

            }

        })

    })

</script>

</html>

5、CSRF禁用

（1）全局禁用

全站禁用：注释掉settings中MIDDLEWARE的中间件 'django.middleware.csrf.CsrfViewMiddleware',

（2）局部禁用

在FBV中，直接加载fbv上就行了

from django.views.decorators.csrf import csrf_exempt,csrf_protect

# 不再检测，局部禁用（前提是全局使用）

# @csrf_exempt

@csrf_exempt

def csrf_disable(request):

    print(request.POST)

    return HttpResponse('ok')

# 检测，局部使用（前提是全局禁用）

# @csrf_protect

 def csrf_disable(request):

    print(request.POST)

    return HttpResponse('ok')

在CBV中，只能加在dispatch方法或者类上面

# CBV中使用

from django.views import View

from django.views.decorators.csrf import csrf_exempt,csrf_protect

from django.utils.decorators import method_decorator

# CBV的csrf装饰器，只能加载类上（指定方法为dispatch）和dispatch方法上（django的bug）

# 给get方法使用csrf_token检测

@method_decorator(csrf_exempt,name='dispatch')

class Foo(View):

    def get(self,request):

        pass

    def post(self,request):

        pass

    # @method_decorator(csrf_protect)

    def dispatch(self, request, *args, **kwargs):

        ret=super().dispatch(request, *args, **kwargs)

        return ret

Django框架（十七）—— 中间件、CSRF跨站请求伪造的更多相关文章

django CBV装饰器自定义django中间件 csrf跨站请求伪造 auth认证模块
CBV加装饰器第一种 @method_decorator(装饰器) 加在get上第二种 @method_decorator(login_auth,name='get') 加在类上第三种 @met ...
Web框架之Django_09 重要组件（Django中间件、csrf跨站请求伪造）
摘要 Django中间件 csrf跨站请求伪造一.Django中间件: 什么是中间件? 官方的说法:中间件是一个用来处理Django的请求和响应的框架级别的钩子.它是一个轻量.低级别的插件系统,用于 ...
Web框架之Django重要组件（Django中间件、csrf跨站请求伪造）
Web框架之Django_09 重要组件(Django中间件.csrf跨站请求伪造) 摘要 Django中间件 csrf跨站请求伪造一.Django中间件: 什么是中间件? 官方的说法:中间件是 ...
Django框架（十二）-- 中间件、CSRF跨站请求伪造
中间件一.什么是中间件请求的时候需要先经过中间件才能到达django后端(urls,views,templates,models) 响应的时候也需要经过中间件才能到达web服务网关接口 djang ...
Django框架（十六）-- 中间件、CSRF跨站请求伪造
一.什么是中间件中间件是介于request与response处理之间的一道处理过程,相对比较轻量级,并且在全局上改变django的输入与输出二.中间件的作用如果你想修改请求,例如被传送到view ...
python 全栈开发，Day87(ajax登录示例,CSRF跨站请求伪造,Django的中间件,自定义分页)
一.ajax登录示例新建项目login_ajax 修改urls.py,增加路径 from app01 import views urlpatterns = [ path('admin/', admi ...
第三百一十五节，Django框架，CSRF跨站请求伪造
第三百一十五节,Django框架,CSRF跨站请求伪造全局CSRF 如果要启用防止CSRF跨站请求伪造,就需要在中间件开启CSRF #中间件 MIDDLEWARE = [ 'django.midd ...
[Django高级之中间件、csrf跨站请求伪造]
[Django高级之中间件.csrf跨站请求伪造] Django中间件什么是中间件? Middleware is a framework of hooks into Django's request ...
csrf 跨站请求伪造相关以及django的中间件
django为用户实现防止跨站请求伪造的功能,通过中间件 django.middleware.csrf.CsrfViewMiddleware来完成. 1.django中常用的中间件? - proces ...

随机推荐

Appium移动端自动化：Api接口详解
滑动操作与拖拽操作 # 滚动处理 # elementObj1 目标滚动元素,elementObj2 起始滚动元素 # 底层通过action操作,与web ui相反,origin_el为目标元素,des ...
MySQL开启SSL认证,以及简单优化
1.1 MySQL开启SSL认证 #生成一个 CA 私钥 [root@db01 ssl]# openssl genrsa 2048 > ca-key.pem Generating RSA pri ...
Cocos2d-x之Sound
| 版权声明:本文为博主原创文章,未经博主允许不得转载. 音效简介: 1.1 在游戏开发的过程中除了华丽的界面,生动的动画之外,适当的音效也是重要的一部分 1.2 游戏中的声音分为两类,一类是音乐 ...
C++中的抽象类和接口
1,在 C++ 语言中,并不直接支持面向对象中的抽象类和接口概念,但是 C++ 语言却可以间接实现这些概念: 2,什么是抽象类: 1,面向对象中的抽象(其实就是分类)概念: 1,在进行面向对象分析时 ...
java中延迟任务的处理方式
1.利用延迟队列延时队列,第一他是个队列,所以具有对列功能第二就是延时,这就是延时对列,功能也就是将任务放在该延时对列中,只有到了延时时刻才能从该延时对列中获取任务否则获取不到…… 应用场景比较多, ...
2018-8-10-WPF-判断USB插拔
title author date CreateTime categories WPF 判断USB插拔 lindexi 2018-08-10 19:16:53 +0800 2018-8-5 13:0: ...
python时间日期处理
一.模块介绍: 1.time模块接近操作系统,模块中的大多数函数是调用了所在平台C library的同名函数,部分函数式平台相关的:基于Unix Timestamp,能表述的日期范围被限定在 1970 ...
UVA1411 Ants
想出的一道题竟然是原题QAQ 非常有趣的一个题根据三角形两边之和大于第三边所以相交的线段一定是比不相交的线段要长的所以直接二分图构图最小费用最大流即可 (我不管我不管我要把这个出到NOIP膜你 ...
v-bin：href 绑定链接
<div id="app06"> <a v-bind:href="URL">我是百度</a> </div> 调用 ...
bzoj 2013
http://www.lydsy.com/JudgeOnline/problem.php?id=2013 最初看这个题的时候,以为神题不可做,然后去找yzjc..然后做法过于简单了(' ' ...

Django框架（十七）—— 中间件、CSRF跨站请求伪造

中间件