Django的中间件
Django的中间件
什么是中间件
中间件是一个用来处理Django的请求和响应的框架级别的钩子。它 是一个轻量、低级别的插件系统,用于在全局范围内改变Django的输入和输出。
Django默认使用的中间件
在Django项目的setting.py文件中
MIDDLEWARE = [
'django.middleware.security.SecurityMiddleware',
'django.contrib.sessions.middleware.SessionMiddleware',
'django.middleware.common.CommonMiddleware',
'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'django.middleware.clickjacking.XFrameOptionsMiddleware',
]
中间件是按照配置文件中的顺序来执行地
自定义中间件
在项目的任意位置新建一个文件夹,文件夹中新建任意一个.py文件,在文件中添加如下内容:
from django.utils.deprecation import MiddlewareMixin
class MyMiddle(MiddlewareMixin):
...
上面就是一个没有任何方法的中间件,如果想要让Django运行你定义的中间件,那么就需要在你的setting.py文件中配置中间件
MIDDLEWARE = [
'django.middleware.security.SecurityMiddleware',
'django.contrib.sessions.middleware.SessionMiddleware',
'django.middleware.common.CommonMiddleware',
'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'django.middleware.clickjacking.XFrameOptionsMiddleware',
'middlewareMixin.log_auth.MyMiddle', # : 就是这个
]
Django为用户提供了五个中间件的方法,常用的只有两个:
-
process_request(self, request)
当请求来时,会触发这个方法,在将request传给视图函数之前可以对request进行一系列操作
def process_request(self, request): print("请求来时会走这个")
如果我们在这个方法里面返回了HttpResponse对象,那么便会触发当前对象中的process_response方法,并原路返回给浏览器
def process_request(self, request): return HttpResponse("你的请求不符合我的要求,拒绝访问!")
-
process_response(self, request, response)
上面我们讲到会触发同级的process_response方法,这个方法必须将response返回,并且必须是按照这个位置写,因为调用这个方法的传参方式是按照位置传参,第二个就是response对象
def process_response(self, request, response): print("响应时会走这个") return response
-
process_view
当我们的路由匹配成功之后,在视图函数执行之前
-
process_exception
当视图函数出现异常时自动触发
-
process_template_response
当视图函数执行完毕,返回的HttpResponse对象中包含render方法时才会触发
csrf:跨站请求伪造
跨站请求伪造就是相当于钓鱼网站。模仿一个正常的网站来盗取得你用户名密码之类的。
解决跨站请求伪造的策略
只要是用户想要提交post请求的页面 我在返回给用户的时候就提前设置好一个随机字符串
- 当用户提交post请求的时候 我会自动先取查找是否有该随机字符串
- 如果有 正常提交
- 如果没有 直接报403
在Django中已经为我们写好了一个解决跨站请求伪造的中间件,我们只需要会使用就可以了
使用Django自带的csrf
提交方式
-
form表单提交
我们只需要在form表单中添加
{% csrf_token %}
经过后端页面渲染就会变成一个隐藏的input框,框内的值就是服务器生成的随机字符串 -
ajax提交
-
第一种:在页面上随便一个地方添加
{% csrf_token %}
通过获取值 -
第二种:直接在ajax的data数据中添加一组键值对:
'csrfmiddlewaretoken':'{{ csrf_token }}'
-
第三种:通过js来获取csrf
function getCookie(name) { var cookieValue = null; if (document.cookie && document.cookie !== '') { var cookies = document.cookie.split(';'); for (var i = 0; i < cookies.length; i++) { var cookie = jQuery.trim(cookies[i]); // Does this cookie string begin with the name we want? if (cookie.substring(0, name.length + 1) === (name + '=')) { cookieValue = decodeURIComponent(cookie.substring(name.length + 1)); break; } } } return cookieValue; } $.ajax({ url: "", type: "post", headers: {"X-CSRFToken": getCookie('csrftoken')}, success: function (res) { alert(res); } })
-
我们除了可以在前端页面上设置csrf之外还可以在后端设置本次请求不校验
-
FBV
from django.views.decorators.csrf import csrf_exempt @csrf_exempt # 只要加装了这个装饰糖那么就不会对这个接口进行csrf检测 def test_csrf(request): if request.method == "POST": return HttpResponse("成功接收请求!") return render(request, "test.html")
-
CBV
from django.views.decorators.csrf import csrf_exempt from django.utils.decorators import method_decorator # 第一种 # @method_decorator(csrf_exempt,name='dispatch') # 将装饰器加装在类上面指定dispatch方法 class MyCsrf(View): # 第二种 # 将装饰器加装在dispatch方法上面 @method_decorator(csrf_exempt) def dispatch(self, request, *args, **kwargs): return super().dispatch(request, *args, **kwargs) def get(self, request): return HttpResponse('hahaha') def post(self, request): return HttpResponse("成功接收请求!")