csrf跨站请求伪造、csrf相关策略、CBV添加装饰器的多种方式

csrf跨站请求伪造
csrf相关校验策略
CBV添加装饰器的多种方式

csrf跨站请求伪造

钓鱼网站:模仿一个正规网站,让用户在该网站上进行操作,但操作的结果会影响到正常的网站账户,但是其中有一些猫腻
  eg:英语四六级考试需要网上先缴费 但是你会发现卡里的钱扣了但是却交到了一个莫名其妙的账户 并不是真正的四六级官方账户

模拟钓鱼网站案例:转账案例
# 真网站:
    '''view.py'''
def transfer_func(request):
    if request.method == 'POST':
        username = request.POST.get('username')
        target_name = request.POST.get('target_name')
        money = request.POST.get('money')
        print(f'{username}给{target_name}转了{money}')
    return render(request, 'transferPage.html')  


    '''transfer.html'''
<body>
<h1>这是一个真网站</h1>
<form action="" method="post">
    <p>用户名:
        <input type="text" name="username">
    </p>
    <p>转账人:
        <input type="text" name="target_name">
    </p>
    <p>转账金额:
        <input type="text" name="money">
    </p>
    <input type="submit">
</form>
</body>


# 假网站:
    '''view.py'''
def transfer_func(request):
    if request.method == 'POST':
        username = request.POST.get('username')
        target_name = request.POST.get('target_name')
        money = request.POST.get('money')
        print(f'{username}给{target_name}转了{money}')
    return render(request, 'transferPage.html') 

    
    '''transfer.html'''
<body>
<h1>这是一个假网站</h1>
<form action="http://127.0.0.1:8000/transfer/" method="post">
    <p>用户名:
        <input type="text" name="username">
    </p>
    <p>转账人:
        <input type="text">
        <input type="text" name="target_name" value="黑客小赵" style="display: none">
    </p>
    <p>转账金额:
        <input type="text" name="money">
    </p>
    <input type="submit">
</form>
</body>

csrf校验策略

网站区分请求页面是真还是假的途径,是给真的提交数据的页面添加一个唯一标识

# form表单中添加csrf唯一标识
在html页面上的form表单内部添加{% csrf_token %} 这样settings校验csrf的那句中间件就可以不用再注掉,凭借中间件就可以想页面发送请求
  即使在假的页面上添加唯一标识 那也是假页面的唯一标识 无法向真的页面发送请求
    
# Ajax请求添加唯一标识
方式1:
    自己动手取值 较为繁琐
    data:{'csrfmiddlewaretoken':$('input[name="csrfmiddlewaretoken"]').val()},
        
方式2:
    利用模板语法自动获取(一定要用引号引起来)
    data:{ 'csrfmiddlewaretoken':'{{ csrf_token }}','username':'jason'},
        
方式3:
    引入外部cs文件
    
在django项目中新建静态文件static,在settings.py中加入以下代码:
STATICFILES_DIRS = [
    os.path.join(BASE_DIR, 'static')
]

在static中新建一个js文件,在js文件中加入以下代码:
function csrfSafeMethod(method) {
  // these HTTP methods do not require CSRF protection
  return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
}

$.ajaxSetup({
  beforeSend: function (xhr, settings) {
    if (!csrfSafeMethod(settings.type) && !this.crossDomain) {
      xhr.setRequestHeader("X-CSRFToken", csrftoken);
    }
  }
});

在加入ajax中的script标签中加入:src="/static/myjs.js"

csrf相关装饰器

整个django项目都校验csrf 但是某些个视图函数\类不想校验
整个django项目都不校验csrf 但是某些个视图函数\类需要校验
这种效果我们可以通过装饰器实现

# FBV添加装饰器:
导入模块,直接将相关装饰器添加在相关视图函数上面即可
from django.views.decorators.csrf import csrf_exempt, csrf_protect
@csrf_exempt:整个django项目要校验csrf,被装饰的函数不校验
@csrf_protect:整个django项目不校验csrf,被装饰的函数要校验
    
# CBV添加装饰器:
from django.views.decorators.csrf import csrf_exempt, csrf_protect
from django import views
from django.views.decorators.csrf import method_decorator

方式1:导入模块,在相应函数上面添加@method_decorator(csrf_protect) # 全局不校验,指定函数校验
class Myclass(views.View):
    
    def get(self, request):
        return render(request, 'CBV.html')

    @method_decorator(csrf_exempt)
    def post(self, request):
        return HttpResponse('哈哈哈')
    
方式2:导入模块,在类上面添加该装饰器,用name指定需要添加的函数名:
@method_decorator(csrf_protect, name='post')
class Myclass(views.View):

    def get(self, request):
        return render(request, 'CBV.html')

    def post(self, request):
        return HttpResponse('哈哈哈')

方式3:导入模块,在类中dispatch方法上添加装饰器,该方法对类中所有方法都有效:
class Myclass(views.View):
    @method_decorator(csrf_protect)
    def dispatch(self, request, *args, **kwargs):
        return super().dispatch(request,*args,**kwargs)

    def get(self, request):
        return render(request, 'CBV.html')
    
'''
注意有一个装饰器是特例只能有一种添加方式>>>:csrf_exempt
 	只有在dispatch方法添加才会生效
'''