Django之CSRF
Django之CSRF
CSRF 跨站请求伪造。在GET请求中，生成随机字符串。
在没有生成csrf安全认证字符串的时候的实例：
url：
url('csrf1/', views.csrf1),
views：
def csrf1(request): if request.method == "GET": return render(request,"csrf1.html")
csrf1.html
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <form method="post" action="/csrf1/"> <input type="text" name="user"> <input type="submit" value="提交"> </form> </body> </html>
在不生成随机字符串的时候，提交的话，csrf会做阻拦。
那么如何处理呐？在前端代码块中加上 {%csrf_token%}，便会生成一串随机字符串。
在csrf1.html页面中加入的话，在提交前，可以查看一下页面的源码：
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <form method="post" action="/csrf1/"> {% csrf_token %} <input type="text" name="user"> <input type="submit" value="提交"> </form> </body> </html>
这里便会生成一串value的随机字符串。这个字符串是每次访问都是不一样的。
views.py
def csrf1(request): if request.method == "GET": return render(request,"csrf1.html") else: return HttpResponse("ok")
这样就可以正常的进行跳转。
但是csrf_token 并不是单单的页面生成一个随机字符串，他还在Cookie里生成里一个csrftoken
局部禁用csrf：
我们也可以指定那些函数可以不用csrf机制检测，
导入 from django.views.decorators.csrf import csrf_exempt 就可以是csrf1函数不做csrf检测。
局部禁用csrf 检测：用 csrf_exempt。
from django.views.decorators.csrf import csrf_exempt @csrf_exempt def csrf1(request): if request.method == "GET": return render(request,"csrf1.html") else: return HttpResponse("ok")
局部使用:
局部使用csrf检测：用 csrf_protect。
from django.views.decorators.csrf import csrf_protect @csrf_protect def csrf1(request): if request.method == "GET": return render(request,"csrf1.html") else: return HttpResponse("ok")
注意：
在CBV中加csrf是不一样的，他目前只能通过导入 from django.utils.decorators import method_decorator 用 method_decorator()的方式将csrf当参数一样用。
from django.views import View from django.utils.decorators import method_decorator @method_decorator(csrf_protect) class Foo(View): def get(self,request): pass def post(self,request): pass
这样加上去的话，是将这个类都加上了这个装饰器。
如果还是CBV，只想对get函数加装饰器，也是如此的加法：
from django.views import View from django.utils.decorators import method_decorator class Foo(View): @method_decorator(csrf_protect) def get(self,request): pass def post(self,request): pass
这里注意，这个装饰器不单单是加csrf是这样去加，而是所有的CBV的类的装饰器都是这样加，参数可以是任何函数。
from django.views import View from django.utils.decorators import method_decorator class Foo(View): @method_decorator(wrapper) def get(self,request): pass def post(self,request): pass
可以是wrapper，也可以加在类上，并且指定给那个函数加：
from django.views import View from django.utils.decorators import method_decorator @method_decorator(wrapper,name="post") @method_decorator(wrapper,name="get") class Foo(View): def get(self,request): pass def post(self,request): pass
这样分别给post和get函数加上了wrapper ，用name可以指定。
也可以加在dispatch上：加在dispatch上也就是给这个类全加上了。
dispatch的作用：因为CBV的请求来了，会先到dispatch里面，dispatch会根据反射在执行post和get操作
from django.views import View from django.utils.decorators import method_decorator @method_decorator(wrapper,name="dispatch") class Foo(View): def dispatch(self, request, *args, **kwargs): return xxx def get(self,request): pass def post(self,request): pass
以上就是csrf的添加操作及关于CBV的装饰器的操作。
--------- END --------
