CSRF

1、概述

　　CSRF(Cross Site Request Forgery)跨站点伪造请求,举例来讲，某个恶意的网站上有一个指向你的网站的链接，如果某个用户已经登录到你的网站上了，那么当这个用户点击这个恶意网站上的那个链接时，就会向你的网站发来一个请求，你的网站会以为这个请求是用户自己发来的，其实呢，这个请求是那个恶意网站伪造的。

　　为了避免上面情况的出现，Django引用了CSRF防护机制；Django第一次响应来自某个客户端的请求时，会在服务器端随机生成一个 token，并把这个 token 放在 cookie 里。然后每次 POST 请求都会带上这个 token，这样就能避免被 CSRF 攻击。如果POST请求中没有token随机字符串，则返回403拒绝服务

  • 在返回的 HTTP 响应的 cookie 里，django 会为你添加一个 csrftoken 字段，其值为一个自动生成的 token
  • 在所有的 POST 表单时，必须包含一个 csrfmiddlewaretoken 字段 （只需要在模板里加一个 tag， django 就会自动帮你生成，见下面）
  • 在处理 POST 请求之前，django 会验证这个请求的 cookie 里的 csrftoken 字段的值和提交的表单里的 csrfmiddlewaretoken 字段的值是否一样。如果一样，则表明这是一个合法的请求，否则，这个请求可能是来自于别人的 csrf 攻击，返回 403 Forbidden。
  • 在所有 ajax POST 请求里，添加一个 X-CSRFTOKEN header，其值为 cookie 里的 csrftoken 的值

下面我们需要在settings.py中把中间件django.middleware.csrf.CsrfViewMiddleware启用：

MIDDLEWARE = [

    'django.middleware.csrf.CsrfViewMiddleware',

]

局部使用方式：

  • @csrf_protect，为当前函数强制设置防跨站请求伪造功能，即便settings中没有设置全局中间件。
  • @csrf_exempt，取消当前函数防跨站请求伪造功能，即便settings中设置了全局中间件。

CBA中的使用方式：

from django.utils.decorators import method_decorator

class AssetView(View):

    @method_decorator(csrf_exempt)     #必须加到dispatch上，get、post上都不好使

    def dispatch(self, request, *args, **kwargs):

        return super(AssetView, self).dispatch(request, *args, **kwargs)

　　

2、Form表单提交POST请求

处理文件：

from django.shortcuts import render,HttpResponse,redirect

# Create your views here.

def login(request):

    if request.method == 'GET':

        return render(request,'login.html')

    elif request.method == 'POST':

        user = request.POST.get('user')

        pwd = request.POST.get('pwd')

        if user == 'root' and pwd == "":

            # 生成随机字符串

            # 写到用户浏览器Cookie

            # 保存到Session中

            #　在随机字符串对应的字典中设置相关内容．．．

            request.session['username'] = user

            request.session['if_login'] = True  #可不加 直接判断username也可以

            if request.POST.get('session') == '':    #单独设置超时时间，当前session生效，不影响全局

                request.session.set_expiry(10)      #10秒

            return redirect('/index/')

        else:

            return redirect('/login/')

def index(request):

    # 获取当前用户的随机字符串

    # 根据随机字符串获取对应信息

    if request.session.get('if_login'):

        return render(request, 'index.html')

    else:

        return redirect('/login/')

views.py

login.html文件：

{# 添加{% csrf_token %} #}

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>Title</title>

</head>

<body>

    <form action="/login/" method="post">

        {% csrf_token %}

        <input type="text" name="user" />

        <input type="text" name="pwd" />

        <input type="checkbox" name="session" value="1"/> 保存1个月

        <input type="submit" value="提交" />

    </form>

</body>

</html>

3、Ajax提交POST请求

处理文件：

from django.shortcuts import render,HttpResponse,redirect

# Create your views here.

def login(request):

    if request.method == 'GET':

        return render(request,'login.html')

    elif request.method == 'POST':

        user = request.POST.get('user')

        pwd = request.POST.get('pwd')

        if user == 'root' and pwd == "":

            # 生成随机字符串

            # 写到用户浏览器Cookie

            # 保存到Session中

            #　在随机字符串对应的字典中设置相关内容．．．

            request.session['username'] = user

            request.session['if_login'] = True  #可不加 直接判断username也可以

            if request.POST.get('session') == '':    #单独设置超时时间，当前session生效，不影响全局

                request.session.set_expiry(10)      #10秒

            return redirect('/index/')

        else:

            return redirect('/login/')

def index(request):

    # 获取当前用户的随机字符串

    # 根据随机字符串获取对应信息

    if request.session.get('if_login'):

        return render(request, 'index.html')

    else:

        return redirect('/login/')

views.py

login.html文件：

{# Ajax提交时要添加headers值 #}

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>Title</title>

</head>

<body>

    <form action="/login/" method="post">

        {% csrf_token %}

        <input type="text" name="user" />

        <input type="text" name="pwd" />

        <input type="checkbox" name="session" value="1"/> 保存1个月

        <input id='btn' type="button" value="Ajax提交" />

    </form>

    <script src="/static/jquery-1.12.4.js"></script>

    <script src="/static/jquery.cookie.js"></script>

    <script>

        $(function () {

            $('#btn').click(function () {

                $.ajax({

                    url:'/login/',

                    type:'POST',

                    data:{'user':'root','pwd':'123'},

                    headers:{'X-CSRFtoken':$.cookie('csrftoken')},

                    success:function (arg) {

                    }

                })

            })

        })

    </script>

</body>

</html>

上面html文件点击提交后，执行成功；但是往往一个程序不止一个Ajax请求，所以我们需要对每个Ajax请求都添加headers请求头，这样未免增加很多工作量；这时就需要做全局设置，不必每个都添加请求头

{# Ajax提交时全局生效 #}

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>Title</title>

</head>

<body>

    <form action="/login/" method="post">

        {% csrf_token %}

        <input type="text" name="user" />

        <input type="text" name="pwd" />

        <input type="checkbox" name="session" value="1"/> 保存1个月

        <input id='btn' type="button" value="Ajax提交" />

    </form>

    <script src="/static/jquery-1.12.4.js"></script>

    <script src="/static/jquery.cookie.js"></script>

    <script>

        $(function () {

{#            全局配置，所有Ajax请求都先执行下面操作#}

            $.ajaxSetup({

                beforeSend:function (xhr,settings) {

                    xhr.setRequestHeader('X-CSRFtoken',$.cookie('csrftoken'));

                }

            });

            $('#btn').click(function () {

                $.ajax({

                    url:'/login/',

                    type:'POST',

                    data:{'user':'root','pwd':'123'},

                    success:function (arg) {

                    }

                })

            })

        })

    </script>

</body>

</html>

全局生效login.html

<!DOCTYPE html>

<html>

<head lang="en">

    <meta charset="UTF-8">

    <title></title>

</head>

<body>

    {% csrf_token %}

    <input type="button" onclick="Do();"  value="Do it"/>

    <script src="/static/plugin/jquery/jquery-1.8.0.js"></script>

    <script src="/static/plugin/jquery/jquery.cookie.js"></script>

    <script type="text/javascript">

        var csrftoken = $.cookie('csrftoken');

        function csrfSafeMethod(method) {

            // these HTTP methods do not require CSRF protection

            return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));

        }

        $.ajaxSetup({

            beforeSend: function(xhr, settings) {

                if (!csrfSafeMethod(settings.type) && !this.crossDomain) {

                    xhr.setRequestHeader("X-CSRFToken", csrftoken);

                }

            }

        });

        function Do(){

            $.ajax({

                url:"/app01/test/",

                data:{id:1},

                type:'POST',

                success:function(data){

                    console.log(data);

                }

            });

        }

    </script>

</body>

</html>

官方使用示例.html

中间件

1、概述

　　django 中的中间件（middleware），在django中，中间件其实就是一个类，在请求到来和结束后，django会根据自己的规则在合适的时机执行中间件中相应的方法；在django项目的settings模块中，有一个 MIDDLEWARE 变量，其中每一个元素就是一个中间件，如下：

MIDDLEWARE = [

    'django.middleware.security.SecurityMiddleware',

    'django.contrib.sessions.middleware.SessionMiddleware',

    'django.middleware.common.CommonMiddleware',

    'django.middleware.csrf.CsrfViewMiddleware',

    'django.contrib.auth.middleware.AuthenticationMiddleware',

    'django.contrib.messages.middleware.MessageMiddleware',

    'django.middleware.clickjacking.XFrameOptionsMiddleware',

]

中间件中可以定义四个方法，分别是：

  • process_request(self,request)　　　　　　请求来时执行，不写时直接跳过，执行下一个中间件；当有return HttpResonse时，下面中间件不再执行
  • process_view(self, request, callback, callback_args, callback_kwargs)   先执行process_request，执行完后，再从起始执行proces_view
  • process_template_response(self,request,response)　　如果Views中的函数返回的对象中，具有render方法，此方法执行
  • process_exception(self, request, exception)　　           异常触发执行，当views.py函数执行出错后，此方法执行；出错时，最低层的exception优先级最高，执行最近的一个，然后执行respnse方法
  • process_response(self, request, response)　　　　　　请求返回时执行，不写时直接跳过，执行下一个中间件；当有return HttpResonse时，会替换原数据

以上方法的返回值可以是None和HttpResonse对象，如果是None，则继续按照django定义的规则向下执行，如果是HttpResonse对象，则直接将该对象返回给用户

注：Django版本1.10之后 直接执行同级的process_response,而不是从最低层process_response开始执行

2、自定义中间件

Django主目录下创建middleware目录（名字任意），在目录下创建m.py文件

① process_request、process_response

在文件中自定义中间件类：

from django.utils.deprecation import MiddlewareMixin

from django.shortcuts import HttpResponse

class Row1(MiddlewareMixin):

    def process_request(self,request):

        print("王森1")

        # return HttpResponse("DDDD")

    def process_response(self,request,response):

        print("扛把子1")

        return response

class Row2(MiddlewareMixin):

    def process_request(self,request):

        print("王森2")

    def process_response(self, request, response):

        print("扛把子3")

        return response

class Row3(MiddlewareMixin):

    def process_request(self,request):

        print("王森3")

    def process_response(self, request, response):

        print("扛把子3")

        return response

在settings文件中注册中间件：

from django.middleware.csrf import  CsrfViewMiddleware

MIDDLEWARE = [

    'django.middleware.security.SecurityMiddleware',

    'django.contrib.sessions.middleware.SessionMiddleware',

    'django.middleware.common.CommonMiddleware',

    'django.middleware.csrf.CsrfViewMiddleware',

    'django.contrib.auth.middleware.AuthenticationMiddleware',

    'django.contrib.messages.middleware.MessageMiddleware',

    'django.middleware.clickjacking.XFrameOptionsMiddleware',

    'middleware.m.Row1',

    'middleware.m.Row2',

    'middleware.m.Row3',

执行打印：　

王森1

王森2

王森3

走你

扛把子3

扛把子3

扛把子1

打印

② process_view

在文件中自定义中间件类：

from django.utils.deprecation import MiddlewareMixin

from django.shortcuts import HttpResponse

class Row1(MiddlewareMixin):

    def process_request(self,request):

        print("王森1")

    def process_view(self, request, view_func, view_func_args, view_func_kwargs):

        print("James1")

    def process_response(self,request,response):

        print("扛把子1")

        return response

class Row2(MiddlewareMixin):

    def process_request(self,request):

        print("王森2")

    def process_view(self, request, view_func, view_func_args, view_func_kwargs):

        print("James2")

    def process_response(self, request, response):

        print("扛把子3")

        return response

class Row3(MiddlewareMixin):

    def process_request(self,request):

        print("王森3")

    def process_view(self, request, view_func, view_func_args, view_func_kwargs):

        print("James3")

    def process_response(self, request, response):

        print("扛把子3")

        return response

执行打印：

王森1

王森2

王森3

James1

James2

James3

走你

扛把子3

扛把子3

扛把子1

打印

《第二十二章》

　

Python开发【Django】：中间件、CSRF的更多相关文章

  1. 【python】-- Django 中间件、缓存、信号

    Django  中间件.缓存.信号 一. Django  中间件 django 中的中间件(middleware),在django中,中间件其实就是一个类,在请求到来和结束后,django会根据自己的 ...

  2. django中间件 csrf auth认证

    django中间件 能做全局访问频率限制,身份校验,黑名单,白名单 用法: 新建一个文件夹,文件夹新建一个py文件,文件中写如下代码 注意点:你写的类必须继续MiddlewareMixin from ...

  3. $Django 中间件 csrf

     中间件  -中间件是什么?请求和响应之间的一道屏障  -中间件作用:控制请求和响应  -django中内置几个中间件   process_request(self,request)   proces ...

  4. django CBV装饰器 自定义django中间件 csrf跨站请求伪造 auth认证模块

    CBV加装饰器 第一种 @method_decorator(装饰器) 加在get上 第二种 @method_decorator(login_auth,name='get') 加在类上 第三种 @met ...

  5. python中django中间件

    一.中间件 所谓的中间件,就是存在socket和视图函数中间的一种相当于过滤的机构. 中间件共分为: (1)process_request(self,request) (2)process_view( ...

  6. python学习-- Django Ajax CSRF 认证

    使用 jQuery 的 ajax 或者 post 之前 加入这个 js 代码:http://www.ziqiangxuetang.com/media/django/csrf.js /*======== ...

  7. python列举django中间件的5个请求方法

    process——request:请求进来时,权限认证. process——view:路由匹配之后,能够得到试图的试图函数. process——exceptions:异常是执行. process——t ...

  8. Web框架之Django_09 重要组件（Django中间件、csrf跨站请求伪造）

    摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是一个用来处理Django的请求和响应的框架级别的钩子.它是一个轻量.低级别的插件系统,用于 ...

  9. Web框架之Django重要组件（Django中间件、csrf跨站请求伪造）

    Web框架之Django_09 重要组件(Django中间件.csrf跨站请求伪造)   摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是 ...

随机推荐

  1. 【Java面试题】46 描述一下JVM加载class文件的原理机制?

    JVM中类的装载是由类加载器(ClassLoader)和它的子类来实现的,Java中的类加载器是一个重要的Java运行时系统组件,它负责在运行时查找和装入类文件中的类.  由于Java的跨平台性,经过 ...

  2. CentOS7服务器搭建百度贴吧云签到

    由无名智者开发的“百度贴吧云签到”应用是一个每天自动对百度贴吧定时进行云签到的程序.前面准备,已经有安装过mysql的linux服务器.mysql的安装在此不做介绍. 一.安装Apache yum i ...

  3. Windows性能监视器

    前端时间在做动态目标监控,应用程序需要考虑大数据量和多用户并发的操作,系统的性能是解决方案实施性的重要度量.这里简单的记录下Windows中性能监视查看和简单分析. 一般操作系统性能主要涉及到的问题主 ...

  4. jQuery继承extend用法详解

    /直接基于jQuery的扩展,判断是否为空 $.isBlank = function(obj){   return(typeof(obj)=='undefined'||obj==''||obj==nu ...

  5. 继承MonoBehaviour类的优缺点和相关报错

    Unity3D文档里虽然说所有脚本继承MonoBehaviour类,但如果你想自定义类,就可以不用继承MonoBehaviour,但是这个类只能调用其中的方法和属性,无法拖到场景的物体中使用. 所有从 ...

  6. web.xml 中的listener、filter、servlet 加载顺序及其【配置详解】

    在项目中总会遇到一些关于加载的优先级问题,近期也同样遇到过类似的,所以自己查找资料总结了下,下面有些是转载其他人的,毕竟人家写的不错,自己也就不重复造轮子了,只是略加点了自己的修饰. 首先可以肯定的是 ...

  7. [ACM] poj 2017 Speed Limit

    Speed Limit Time Limit: 1000MS   Memory Limit: 30000K Total Submissions: 17030   Accepted: 11950 Des ...

  8. python2.0_s12_day15_django框架的基本使用

    day15本节内容介绍 上节作业讲解(让行进入编辑模式,批量编辑) CSS之特殊内容补充 CSS内容补充之伪类 伪类实例:返回顶部终极版 CSS内容补充之无法被覆盖 jQuery插件 jQuery插件 ...

  9. django model 数据类型

    转自:http://www.cnblogs.com/lhj588/archive/2012/05/24/2516040.html Django 通过 models 实现数据库的创建.修改.删除等操作, ...

  10. Unity3d 手机屏幕自动适配

    我提到手机自动适配的一个方法中:postion和Scale,“比例”概念适配手机.原始资源是480*800 经过实际项目考验,个人感觉: 1,UICamera是自动适配分辨率,UI上也是拉伸.放大UI ...