☆Django☆---中间件 csrf跨站请求伪造 auth模块 settings功能插拔式源码

Django中间件

django生命周期图

中间件:

　　概念: Django中间件就类似于 django的保安

　　　　请求的时候需要先经过中间件才能到达django后端(urls, views)

　　　　响应走的时候也需要经过中间件才能到达web服务网关接口

　　django默认的七个中间件

MIDDLEWARE = [
                                'django.middleware.security.SecurityMiddleware',
                                'django.contrib.sessions.middleware.SessionMiddleware',
                                'django.middleware.common.CommonMiddleware',
                                'django.middleware.csrf.CsrfViewMiddleware',
                                'django.contrib.auth.middleware.AuthenticationMiddleware',
                                'django.contrib.messages.middleware.MessageMiddleware',
                                'django.middleware.clickjacking.XFrameOptionsMiddleware',
                            ]

　问:django中间件都可以用来干什么? ***

　　1. 网站全局的身份校验, 访问频率限制,权限校验.....

　　2.django的中间件是web框架中做的最好的

　　Django中间件中有五个用户可以自定义的方法

　　process_response　　process_request　　process_view　　process_exception　　process_templates

　　如何自定义?

　　①首先需要在 app 同级目录下创建你自己的 middleware 在里面创建你的py文件

　　②导入模块 from django.utils.deprecation import MiddlewareMixin

　　③定义自己的类需要继承 Middleware 重写上面五种方法

　　④在settings配置文件中的MIDDLEWARE 字符串点的方式添加例如: '文件夹.py文件.类名'

　　process_request(request) 方法

　　　　规律: 1.请求来的时候会经过每一个中间件里面的 process_request方法(从上往下)

　　　　　　 2.如果方法里面直接返回了HttpResponse对象那么会不在往下执行放回同级执行process_response方法往回走

　　　　　　 3.方法必须要传入request参数也就是说基于该特点就可以做访问频率身份校验,权限的校验

　　　process_response(request, response) 方法

　　　　　规律:1.必须将参数 reponse返回因为这个参数就是后端返回给前端的数据

　　　　　　　 2.响应走的时候会依次经过每一个中间件里面的 process_response方法(从下往上)

　　　了解方法:

　　　 process_view(request, view_func,view_args, view_kwargs)

　　　 在路由匹配成功后执行函数触发之前触发

　　　view_func 就是 url匹配对应的视图函数 view_args 和 view_kwargs 都是参数

　　　process_exception( request,exception)

　　　当你的视图函数报错的时候回自动触发

　　 process_template_response(request, response)

　　　当你放回的HttpResponse对象中必须包含 render 属性才会触发

　　总结: 书写中间件的时候只要形参中有response 就把它返回他是前端需要的数据

csrf跨站请求伪造

　　引入:钓鱼网站: 通过制作一个跟正儿八经的网站一模一样的界面骗取用户输入信息修改数据去正儿八经的网站提交

　　内部原理: 在让用户输入给对方转账的那个input框上做手脚不给这个input 设置name 和属性在内部隐藏一个写好的name 和 value属性input框这个value就是钓鱼网站受益人的账号 form 表单数据提交改为正儿八经的

　　　防止钓鱼网站的思路
　　　　　　网站会给返回给用户的form表单页面偷偷塞一个随机字符串
　　　　　　请求到来的时候会先比对随机字符串是否一致如果不一致直接拒绝(403)

　　　　　　该随机字符串有以下特点
　　　　　　1.同一个浏览器每一次访问都不一样
　　　　　　2.不同浏览器绝对不会重复

-------------------------------------------------------------------------------------------------------------------------------------------

　　1.form表单发送post请求的时候需要你仅仅做的就是写一句话 {{% csrf_token %}}

　　这样我们就可以吧中间件的有个注释打开了他这个就是来校验你有没有一个 csrfmiddlewaretoken的东西没有直接给你403

　 2.ajsx发送post请求的时候如和避免csrf校验

　　1.先在页面上写{% csrf_token %}, 利用标签name 属性查找器查找获取到该input键值信息

　　2.直接书写'{{ csrf_token }}'

　 3.将获取随机键值对的方法写到一个js文件中之后只需要导入文件即可

　　在static文件中创建 js文件和 py文件把下面代码写入之后导入就行

function getCookie(name) {
    var cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        var cookies = document.cookie.split(';');
        for (var i = 0; i < cookies.length; i++) {
            var cookie = jQuery.trim(cookies[i]);
            // Does this cookie string begin with the name we want?
            if (cookie.substring(0, name.length + 1) === (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}
var csrftoken = getCookie('csrftoken');


function csrfSafeMethod(method) {
  // these HTTP methods do not require CSRF protection
  return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
}

$.ajaxSetup({
  beforeSend: function (xhr, settings) {
    if (!csrfSafeMethod(settings.type) && !this.crossDomain) {
      xhr.setRequestHeader("X-CSRFToken", csrftoken);
    }
  }
});

　　之后该怎么传就怎么传就行了

1.当你网站全局都需要校验csrf的时候有几个不需要校验该如何处理？

2.当你网站全局不校验csrf的时候有几个需要校验又该如何处理？

from django.views.decorators.csrf import csrf_exempt,csrf_protect

　　csrf_exempt 不校验 
   csrf_protect 只校验

　　cbv装饰

from django.utils.decorators import method_decorator

这两个装饰器在给CBV装饰的时候 有一定的区别
            如果是csrf_protect 那么有三种方式
                # 第一种方式
                # @method_decorator(csrf_protect,name='post')  # 有效的
                class MyView(View):
                    # 第三种方式
                    # @method_decorator(csrf_protect)
                    def dispatch(self, request, *args, **kwargs):
                        res = super().dispatch(request, *args, **kwargs)
                        return res

                    def get(self,request):
                        return HttpResponse('get')
                    # 第二种方式
                    # @method_decorator(csrf_protect)  # 有效的
                    def post(self,request):
                        return HttpResponse('post')

如果是csrf_exempt 只有两种(只能给dispatch装)   特例
            @method_decorator(csrf_exempt,name='dispatch')  # 第二种可以不校验的方式
            class MyView(View):
                # @method_decorator(csrf_exempt)  # 第一种可以不校验的方式
                def dispatch(self, request, *args, **kwargs):
                    res = super().dispatch(request, *args, **kwargs)
                    return res

                def get(self,request):
                    return HttpResponse('get')

                def post(self,request):
                    return HttpResponse('post')

装饰器中只有csrf_exempt是特例,其他的装饰器在给CBV装饰的时候 都可以有三种方式

def login_auth(func):
    @wraps(func)
    def inner(request,*args,**kwargs):
        # 从request中获取cookie
        # print(request.path)
        # print(request.get_full_path())
        target_url = request.get_full_path()
        if request.COOKIES.get('name'):
            res = func(request,*args,**kwargs)
            return res
        else:
            return redirect('/lg/?next=%s'%target_url)
    return inner