django中间件 csrf auth认证

   django中间件
         能做全局访问频率限制,身份校验,黑名单,白名单
         用法:
            新建一个文件夹,文件夹新建一个py文件,文件中写如下代码
            注意点:你写的类必须继续MiddlewareMixin
         from django.utils.deprecation import MiddlewareMixin
         from django.shortcuts import HttpResponse,render

         class MyMiddleWare(MiddlewareMixin):
            def process_request(self,request):
               print('我是第一个自定义的中间件中process_request方法')
               # return HttpResponse('我是第一个中间件里面返回的对象')
               # return render(request, 'index.html')
               # process_request方法默认不返回HttpResponse对象,如果返回了
               # 后续的中间件都不会再走,而是直接同级别走process_response方法

            def process_response(self,request,response):
               print('我是第一个自定义的中间件中process_response方法')
               return response

         django允许用户自定义中间件,并且暴露给用户五个可以自定义的方法
         1.process_request:请求到来时会执行(必须掌握)
         2.process_response:响应返回时会执行(必须掌握)
         并且需要指定每一个方法什么时候触发(必须掌握)

         3.process_view:路由匹配成功执行视图函数之前,会依次process_view方法
         4.process_exception:视图函数中报错,会依次执行process_exception方法
         5.process_template_response:视图函数必须返回render对象时才会触发process_template_response方法(了解即可)

      CSRF跨站请求伪造
         如何通过csrf校验
            <form action="" method="post">
               {% csrf_token %}
               <p>username:<input type="text" name="username"></p>
               <p>money:<input type="text" name="money"></p>
               <p>对方账户:<input type="text" name="others"></p>
               <input type="submit">
            </form>
            <input type="hidden" name="csrfmiddlewaretoken" value="HHxKItr7Z17sZxCAtybnOeV5ne5K3xnvkymENCupB5ylL8h8kWBIiklm9K10paxE">

         ajax如何通过csrf校验
            # 通过jQuery标签查找获取csrfinput框的键值对,手动加到data参数里面
         $('button').click(function () {
            $.ajax({
               url:'',
               type:'post',
               data:{'name':'jason','csrfmiddlewaretoken':$('[name=csrfmiddlewaretoken]').val()},
               success:function (data) {
                  console.log(data)
               }
            })
         })

      局部使用与局部禁用csrf
      from django.views.decorators.csrf import csrf_exempt,csrf_protect

      @csrf_exempt
      def home(request):
         return HttpResponse('home')

      @csrf_protect
      def login(request):
         return HttpResponse('login')

      auth.logout(request)
      # 等价于删除session数据request.session.flush()

   auth认证
      # user = models.User.objects.filter(username=username,password=password).first()
        user = auth.authenticate(request,username=username,password=password)
        if user:
            auth.login(request,user)
            # 这一句执行完之后,其他的视图函数可以直接通过request.user获取到当前用户对象
            # 这一句话就相当于操作session记录

      # 当没有执行auth.login,request.user打印出来的是匿名用户。将session表数据删除即可演示改效果
      # 如何判断request.user用户是否通过auth.login登陆呢？request.user.is_authenticated

      # 为何执行auth.login之后，其他视图函数中就可以通过request.user拿到当前登陆对象呢？
      # 想想django的中间件中有没有一个叫Auth啥的中间件，它干了件什么事，
      # 能不能推导一下？取出session去表里面查相应的数据，然后放到request.user中，点进去看一下这个中间件确实如此

   """
   # django中间件

什么是中间件？

django请求生命周期完整版，中间件类似于django的门卫，数据在进入和离开时都需要经过中间件

中间件能干嘛？

控制用户访问频率，全局登陆校验，用户访问白名单，黑名单等

查看django默认的三个中间件

- Csrf
- Session
- Auth

中间件的使用(5个固定的方法)

自定义中间件

```python
from django.utils.deprecation import MiddlewareMixin

class MyMiddleWare(MiddlewareMixin):
    def process_request(self, request):
        print('我是第一个自定义的中间件的process_request！')
# 写一个路由与视图，启动项目，查看打印结果。
# 再写一个自定义中间件

class MyMiddleWare(MiddlewareMixin):
    def process_request(self, request):
        print('我是第二个自定义的中间件的process_request！')
# 诠释中间件的执行顺序

# 在两个中间件中添加process_response方法。研究中间件消息进出的顺序
class MyMiddleWare(MiddlewareMixin):
    def process_request(self, request):
        print('我是第一个自定义的中间件的process_request！')
    def process_response(self,request，response):
       print('我是第一个自定义的中间件的process_response')
        return response
# 再来研究process_request中直接返回HttpReponse对象，会怎么走接下来的process_response

# process_view,process_exception,process_template_response
```

## csrf(跨站请求伪造)

先写一个简单的post请求，复现报错信息

钓鱼网站:银行转账的路径，你是否也可以拿到，然后你做一个跟银行一模一样的页面，也超银行的借口提交数据，当用户在钓鱼网站输入对方账户名和转账金额之后，点击发送。其实内部是将对方账户换成了钓鱼网站的造假人员的账户。造成你转账转错账户的情况

开两个django项目，模拟转账的现象

如何区分钓鱼网站和正经网站？在正经网站返回页面的时候，在form表单中偷偷塞一个特殊的字符串，后端记下改页面对应的字符串的值，等用户发post请求来的时候，我先去校验特殊的字符串是否匹配

如何去写这个特殊的字符串呢？模版语法有一个固定的写法{% csrf_token %},必须写在form表单内

浏览器查看改标签的值，并且每次都在刷新。再来演示刚刚转账的示例

ajax中如何设置csrf_token

```python
# 第一种页面上先写一个{%csrf_token%}标签，后面用jquery查找标签取值组成键值对放入data中即可
```

csrf_token局部使用

```python
# 只想给某个视图韩式加上csrf校验
from django.views.decorators.csrf import csrf_exempt,csrf_protect

# 局部禁用
@csrf_exempt
def index(request):
  pass

# 局部使用
@csrf_protect
def login(request):
  pass

# CBV比较特殊，不能单独加在某个方法上
# 只能加在类上或dispatch方法上
from django.utils.decorators import method_decorator
from django.views.decorators.csrf import csrf_exempt,csrf_protect
@method_decorator(csrf_exempt,name='get')  # 第一种
class Csrf_Token(View):
  @method_decorator(csrf_exempt)  # 第二种
  def dispatch(self,request,*args,**kwargs):
    res = super().dispatch(request,*args,**kwargs)
    return res
  @method_decorator(csrf_exempt)  # 这里这么写不行！！！
  def get(self,request):
    pass
  def post(self,request):
    pass
```

# Auth认证模块

执行数据库迁移的那两条命令时，即使我们没有建表，django是不是也会创建好多张表？我们创建之后去看一下里面的一个叫auth_user表，既然是表，那肯定应该有对应的操作改表的方法

auth_user表记录的添加

- 创建超级用户(不可手动插入，因为密码是加密的)

- 简单使用auth认证

  ```python
  from django.contrib import auth
  def login(request):
    if request.method == 'POST':
      name = request.POST.get('name')
      pwd = request.POST.get('pwd')
      user = auth.authenticate(request,username=name,password=pwd)
      # 类似于user=models.User.objects.filter(username=name,password=pwd).first()
      if user:
        return redirect('/home/')
    return render(request,'login.html')
  ```

- 只是简单的验证信息不行，还需要给当前成功登陆的用户保存登陆状态，之前是通过cookie或者session，现在呢，auth也给你提供了一个比较好用的方法

  ```python
  if user:
    # 等价于request.session['name']=name
    auth.login(request,user)  # 登陆，其实就把用户信息放到session中，跑一下验证session表
  ```

- 上面的验证和登陆其实不是它的亮点，亮点在于

  ```python
  # 只要登陆成功执行了auth.login(request,user)
  # 之后在其他任意的视图函数中都通过request.user获取当前登陆用户对象

  # 当没有执行auth.login,request.user打印出来的是匿名用户。将session表数据删除即可演示改效果
  # 如何判断request.user用户是否通过auth.login登陆呢？request.user.is_authenticated

  # 为何执行auth.login之后，其他视图函数中就可以通过request.user拿到当前登陆对象呢？想想django的中间件中有没有一个叫Auth啥的中间件，它干了件什么事，能不能推导一下？取出session去表里面查相应的数据，然后放到request.user中，点进去看一下这个中间件确实如此
  ```

- 注销

  ```python
  auth.logout(request)
  # 等价于删除session数据request.session.flush()
  ```

- 装饰器校验是否登陆及跳转

  ```python
  from django.contrib.auth.decorators import login_required

  @login_required(login_url='/login/',redirect_field_name='old')  # 没登陆会跳转到login页面，并且后面会拼接上你上一次想访问的页面路径/login/?next=/test/,可以通过参数修改next键名
  def my_view(request):
    pass
  ```

- 如果我所有的视图函数都需要装饰并跳转到login页面，那么我需要写好多份

  ```python
  # 可以在配置文件中指定auth校验登陆不合法统一跳转到某个路径
  LOGIN_URL = '/login/'  # 既可以局部配置，也可以全局配置
  ```

- 回到最上面，我们是怎么对auth_user表添加数据的？命令行输入～～～合理不？

  ```python
  from django.contrib.auth.models import User
  def register(request):
    User.objects.create()  # 不能用这个，因为密码是明文
    User.objects.createuser()  # 创建普通用户
    User.objects.createsuperuser()  # 创建超级用户
  ```

- 校验密码，修改密码

  ```python
  request.user.check_password(pwd)  # 为什么不直接获取查，因为前端用户输入的是明文数据库密文

  request.user.set_password(pwd)
  request.user.save()  # 修改密码
  ```

#### 自定义模型表应用auth功能

如何扩张auth_user表？

- 一对一关联(不推荐)

  ```python
  from django.contrib.auth.model s import User

  class UserDetail(models.Models):
    phone = models.CharField(max_length=11)
    user = models.OnoToOneField(to=User)
  ```

- 面向对象的继承

  ```python
  from django.contrib.auth.models import User,AbstractUser
  class UserInfo(AbstractUser):
    phone = models.CharField(max_length=32)

  # 需要在配置文件中，指定我不再使用默认的auth_user表而是使用我自己创建的Userinfo表
  AUTH_USER_MODEL = "app名.models里面对应的模型表名"

  """
  自定义认证系统默认使用的数据表之后，我们就可以像使用默认的auth_user表那样使用我们的UserInfo表了。
  库里面也没有auth_user表了，原来auth表的操作方法，现在全部用自定义的表均可实现
  """
  ```

   """

昨日内容回顾
   CBV装饰器
      from django.utils.decorators import method_decorator
      三种方式
         1.在类上面加，需要通过name参数指定被装饰的方法
            @method_decorator(login_auth,name='get')
         2.直接在想装饰方法上
            @method_decorator(login_auth)
         3.重写dispatch，直接给dispatch装(意味着该类中所有的方法都被装饰了)
            @method_decorator(login_auth)

   django中间件     
      django的门户/保安
      django暴露给用户可以自定义的无法方法
      需要掌握的：
         process_request：请求来的时候会从上往下依次执行(如果在该方法中返回了一个HttpResponse对象
                     那么不再走后续的中间件了会走到用级别的process_response方法依次从下往上返回)
         process_response：响应走的时候会从下往上依次执行(需要将形参的response返回)

      需要了解的:
         process_view:路由匹配成功执行视图函数之前(如果直接返回了一个HttpResponse对象，那么他会从下面最后一个中间件往上依次执行process_response)
         process_exception:视图函数报错了会自动触发(从下往上)
         process_template_response:当返回的对象中一个render方法时(或者包含一个template_response对象)

      自定义中间件
         在响应的应用下创建一个任意的文件夹，该文件夹内建一个任意的py文件
         from django.utils.deprecation import MiddlewareMixin
         class MyMdzz(MiddlewareMixin):
            def process_request(self,request):
               return None

            def process_response(self,request,response):
               return response
         在settings中配置
            '应用名.文件夹名.文件名.类名'

   跨站请求伪造(Csrf)
      form表单中
         {% csrf_token %}

      ajax提交
         # 第一种
         data:{'csrfmiddlewaretoken':$('[name="csrfmiddlewaretoken"]').val()}
         # 第二种
         data:{'csrfmiddlewaretoken':'{{ csrf_token }}'}

      from django.views.decorators.csrf import csrf_exempt,csrf_protect
      from django.utils.decorators import method_decorator

      FBV:
         @csrf_exempt
         def index(request):
            return HttpResponse('index')

      CBV:

         """
         csrf_protect：跟你注册的CBV装饰一样     》》》  三种方法
         csrf_exempt：只能给dispatch这个方法装
            @method_decorator(csrf_exempt,name='dispatch')  # 第一种 
            class Index3(View):
               # @method_decorator(csrf_exempt)   # 第二种  
               def dispatch(self, request, *args, **kwargs):
                  super().dispatch(request,*args,**kwargs)  
            其实都是给dispatch加    
         """

   auth模块
      from django.contrib import auth
      创建超级用户
         createsuperuser

      用户相关的功能模块,默认操作的就是auth_user

      # 查询当前用户是否存在（必须传用户名和密码才可以校验用户是否存在）
      # 等价于models.User.objects.filter(**kwargs).first()
      user_obj = auth.authenticate(request,username=username,password=password)
      # 记录当前用户状态
      auth.login(request,user_obj)  # 等价于request.session['name'] = user_obj
      """
      只要执行了auth.login(request,user_obj)你就可以在任意的位置通过request.user拿到当前登录对象
      """
      # 退出登录
      auth.logout(request)
      # 修改密码
      request.user.check_password('jason123')
      request.user.set_password('jason666')
      request.user.save()  
      # 注册功能
      from django.contrib.auth.models import User
      User.objects.create(**kwargs)  # 密码变成明文的 不能用!
      User.objects.create_user(**kwargs)  
      User.objects.create_superuser(**kwargs)  

      扩展表的字段
      # 第一种方法  一对一关联表
      Class UserDetail(models.Models):
         phone = ...
         avatar = ...
         detail = models.OneToOneField(to='User')

      # 第二种  继承真正的AbstractUser
      class UserInfo(AbstractUser):
         phone = ...
         avatar = ...
         ps：必须在配置文件中告诉django不再用默认的auth_user来支持auth模块了
         AUTH_USER_MODEL = '应用名.表名'
         AUTH_USER_MODEL = 'app01.UserInfo'

      # 装饰器
      from django.contrib.auth.decorators import login_required

      @login_required(login_url='/login/')  # 局部配置
      def index(request):
         return HttpResponse('index')

      # 全局配置
      # 配置文件中
      LOGIN_URL = '/login/'