跨站请求伪造

一、简介

django为用户实现防止跨站请求伪造的功能，通过中间件 django.middleware.csrf.CsrfViewMiddleware 来完成。而对于django中设置防跨站请求伪造功能有分为全局和局部。

全局：

　　中间件 django.middleware.csrf.CsrfViewMiddleware

局部：

  • @csrf_protect，为当前函数强制设置防跨站请求伪造功能，即便settings中没有设置全局中间件。
  • @csrf_exempt，取消当前函数防跨站请求伪造功能，即便settings中设置了全局中间件。

注：from django.views.decorators.csrf import csrf_exempt,csrf_protect

csrf:跨站请求伪造（生成随机字符串），每次操作访问时则检查随机的字符串
csrf：post时，需要用户携带随机字符串

二、应用

1、普通表单

veiw中设置返回值：

　　return render_to_response('Account/Login.html',data,context_instance=RequestContext(request))　　

     或者

     return render(request, 'xxx.html', data)

html中设置Token:

　　{% csrf_token %}

　　

2、Ajax

对于传统的form，可以通过表单的方式将token再次发送到服务端，而对于ajax的话，使用如下方式。

示例：

urls.py

from django.conf.urls import url

from django.contrib import admin

from app01 import views

urlpatterns = [

    url(r'^admin/', admin.site.urls),

    # 关于csrf:跨站请求伪造（生成随机字符串），每次操作访问时则检查随机的字符串

    url(r'^csrf1.html$',views.csrf1),

]

views.py

from django.shortcuts import render,HttpResponse

from django.views import View

from app01 import models

from django.views.decorators.csrf import csrf_exempt,csrf_protect

# =============关于csrf的：

# csrf:跨站请求伪造（生成随机字符串），每次操作访问时则检查随机的字符串

# 1.将setting里面的csrf的注释去掉

@csrf_protect#这个指的是局部使用，全站禁用，（仅仅在下面的这个被装饰的函数使用csrf）需要注释setting里的csrf

@csrf_exempt#这个指的是局部禁用，全站使用，（仅仅在下面的这个被装饰的函数禁用csrf）不能注释setting里的csrf

def csrf1(request):

    if request.method=="GET":

        return render(request,"csrf1.html")

    else:

        return HttpResponse("good")

csrf1.html

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>Title</title>

</head>

<body>

<form method="post" action="/csrf1.html">

    {% csrf_token %}

{#    {{ csrf_token }}#}

    <input id="user" type="text" name="username">

    <input type="submit" value="提交">

    <a onclick="submitForm();">Ajax提交</a>

</form>

<script src="/static/jquery-1.12.4.js"></script>

<script src="/static/jquery.cookie.js"></script>

<script>

    function submitForm() {

        var token=$.cookie("csrftoken");

{#        var token=$.cookie("csrftoken");这个根据cookie的key来取的随机生成的cookie的value值#}

        var user=$("#user").val();

        $.ajax({

            url:"/csrf.html",

            type:"POST",

            headers:{"X-CSEFToken":token},

            data:{"user":user},

            success:function (arg) {

                console.log(arg);

            }

        })

    }

</script>

</body>

</html>

三、csrf基于FBV和CBV的应用

示例：

from django.shortcuts import render,HttpResponse

from django.views import View

from app01 import models

from django.views.decorators.csrf import csrf_exempt,csrf_protect

# =======csrf里面的CBV(基于类的方式)应用装饰器

from django.views import View

from django.utils.decorators import method_decorator

# 1、先自定义一个闭包函数做装饰器

def wrapper(func):

    def inner(*args,**kwargs):

        return func(*args,**kwargs)

    return inner

# 关于cbv的应用装饰器，方法一：在指定的方法上添加装饰器

class Foo(View):

    @method_decorator(wrapper)#仅仅在下面的函数内有效

    def get(self,request):

        # return HttpResponse("login_get")

        return render(request,"login.html")

    def post(self,request):

        print(request.POST.get("username"))

        return HttpResponse("login_post")

# 方法二：在类上面添加

# @method_decorator(wrapper,name="get")#仅仅给类里面的get函数使用

@method_decorator(wrapper,name="dispatch")#给下面所有的函数使用

class Foo(View):

    def dispatch(self, request, *args, **kwargs):

        pass

    def get(self,request):

        # return HttpResponse("login_get")

        return render(request,"login.html")

    def post(self,request):

        print(request.POST.get("username"))

        return HttpResponse("login_post")

　　

xss攻击

- 慎用 safe和mark_safe
- 非要用，一定要过滤关键字

示例：

xss攻击

    跨站脚本攻击：

    防止：

        -其他人输入的内容  不用safe

        -自己输入的内容    可用safe

    <scripts>

        for(var i=0;i<9999;i++){

            alert(i)

        }

    </scripts>   

    <scripts>

        获取本地cookie,发送到别外一个网站

    </scripts>

Django之cfrs跨站请求伪造和xfs攻击的更多相关文章

  1. Django之CSRF 跨站请求伪造

    一.简介 1.点我了解什么是跨站请求伪造 2.django为用户实现防止跨站请求伪造的功能,通过中间件 django.middleware.csrf.CsrfViewMiddleware 来完成.而对 ...

  2. Django添加防跨站请求伪造中间件

    第一步: 在全局设置中打开此中间件: MIDDLEWARE_CLASSES = [ ... 'django.middleware.csrf.CsrfViewMiddleware', ... ]     ...

  3. Django框架之跨站请求伪造

    跨站请求伪造(英语:Cross-site request forgery),也被称为one-click attack或者session riding,通常缩写为CSRF或者XSRF, 是一种挟制用户在 ...

  4. django CBV装饰器 自定义django中间件 csrf跨站请求伪造 auth认证模块

    CBV加装饰器 第一种 @method_decorator(装饰器) 加在get上 第二种 @method_decorator(login_auth,name='get') 加在类上 第三种 @met ...

  5. django的csrf跨站请求伪造

    1.什么是跨站请求伪造 请看图: 我们自行写了一个网站模仿中国银行,用户不知道是否是真的中国银行,并且提交了转账信息,生成一个form表单,向银行服务器发送转账请求,这个form表单和正规银行网站的f ...

  6. Django之CSRF跨站请求伪造（老掉牙的钓鱼网站模拟）

    首先这是一个测试的代码 请先在setting页面进行下面操作 注释完成后,开始模拟钓鱼网站的跨站请求伪造操作: 前端代码: <!DOCTYPE html> <html lang=&q ...

  7. 跨站请求伪造CSRF：攻击与防御

    CSRF是什么         (Cross Site Request Forgery, 跨站域请求伪造)是一种网络的攻击方式,它在 2007 年曾被列为互联网 20 大安全隐患之一,也被称为&quo ...

  8. django中csrftoken跨站请求伪造的几种方式

    1.介绍 我们之前从前端给后端发送数据的时候,一直都是把setting中中间件里的的csrftoken这条给注释掉,其实这个主要起了一个对保护作用,以免恶意性数据的攻击.但是这样直接注释掉并不是理智型 ...

  9. Web框架之Django_09 重要组件（Django中间件、csrf跨站请求伪造）

    摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是一个用来处理Django的请求和响应的框架级别的钩子.它是一个轻量.低级别的插件系统,用于 ...

随机推荐

  1. 第200天：js---常用string原型扩展

    一.常用string原型扩展 1.在字符串末尾追加字符串 /** 在字符串末尾追加字符串 **/ String.prototype.append = function (str) { return t ...

  2. 第153天：关于HTML标签嵌套的问题详解

    HTML标签 1.块级元素 div.h1~h6.address.blockquote.center.dir.dl.dt.dd.fieldset.form.hr.isindex.menu.noframe ...

  3. 在mvc4中上传、导入和导出excel表方法总结

    通过excel的导入导出练习,使用NPOI组件还是方便一点,所有下面就以NPOI下的导入导出给出实例,通过网页导入excel表,首先上传,再导入数据到库,这里为了方便就不导入到库中了,直接拿到数据.导 ...

  4. 【ABP】Abp的AspNetZero5.0版本无法使用ctrl+f5调式

    原文:http://www.cnblogs.com/94pm/p/7942483.html AspNetZero是基于Abp框架开发的商业程序,最近从Abp交流群中得知5.0版本开始加入了防盗版的功能 ...

  5. python的N个小功能(连接数据库并下载相应位置的图片)

    #################################################################################################### ...

  6. Day21-自定义simple_tag/filter

    一. 在模板里面对用户发过来的数据进行二次加工.想办法把Python的函数放到模板语言里面使用. 有2种方法:filter与simple_tag 二. 实例 {{name|lower}} trunca ...

  7. 如何实现密码输入框focus状态弹出提示信息

    一.密码输入提示框样式实现 效果图如下: 源码如下: <html> <style type="text/css"> *{ padding: 0; margi ...

  8. 漫谈ElasticSearch关于ES性能调优几件必须知道的事

    lasticSearch是现在技术前沿的大数据引擎,常见的组合有ES+Logstash+Kibana作为一套成熟的日志系统,其中Logstash是ETL工具,Kibana是数据分析展示平台.ES让人惊 ...

  9. Opencv2.4.9+win7+VS2012一次性配置的方法--通过建立属性表永久配置

    Opencv的配置对于初学者很麻烦,网上的教程也非常多,针对不同的操作系统.opencv版本.Visual studio版本都有相应的教程,但即便是按照教程一步一步来,仍然难免出错,很多教程还是一次性 ...

  10. 【BZOJ3028】食物（生成函数）

    [BZOJ3028]食物(生成函数) 题面 一个人要带\(n\)个物品,共有\(8\)种物品,每种的限制分别如下: 偶数个;0/1个;0/1/2个;奇数个; 4的倍数个;0/1/2/3个;0/1个;3 ...