day21-CSRF
一、前言
之前我们写代码,都是会把settings配置文件里面的csrf的中间注释掉,不然我们请求post时候的会出现403 forbidden,那这个到底有啥用呐?它的原理又是什么呐?
csrf原理:
我们向服务请求时,服务器认为你是get请求的,服务器不仅把数据给你,还偷偷的的给你一大堆字符串,这个字符串是加密的,但是只有我服务器自己能反解,你客户端下一次提交数据的时候,需要带上这个字符串来再来,这样的话我服务器才会允许,不然的话,不允许你提交数据。
原理图:
二、From表单提交方式
2.1、前提条件
说明:因为我们之前都是注释掉django中的settings文件中的csrf插件,我们现在不用注释掉
'django.middleware.csrf.CsrfViewMiddleware' #全局中间件
2.2、templates中login.html的改进
说明:在输入框之前加上{% csrf_token %},表示这边加上一个隐藏的input框,这个input框默认值是csrf_token值,提交的发送给后端
<body> <form method="post" action="/login/"> {% csrf_token %} #会隐藏一个input框,这个input框的默认值为csrf_token的值 <input type="text" name="user" placeholder="用户名"> <input type="password" name="pwd" placeholder="密码"> <input type="checkbox" name="rmb" value="1">10秒免登录 <input type="submit" value="登录"> </form> </body>
如图:
确实会在添加一个隐藏的input的框,这个input乱的value是csrf_token的值。
2.3、get请求成cookie
说明:当我get请求的时候,我会自动在我的浏览器cookie生成一个值,然后相应的时候,服务器会返回这个cookie的值
所以,在input框之前添加{% csrf_toke %}的时候,不仅在form中生产一个隐藏的input框,而且请求get的时候,在本地cookie也会生产csrf的值,当然如果你在前端指向获取csfr_token的值,你就直接在前端获取就行了:
{{ csrf_token }}
三、ajax提交
我们之前说了,当我们需要用post提交的时候,我们需要带这个csrf_token去后台去跟服务器去校验,那我们怎么带这个这个csrf_token值呐,其实我们在请求的时候,把它放在header里面,发送给服务器就可以了。
3.1、ajax执行前置条件
说明:就是说对整个页面的ajax的做一个配置,如果是整体的ajax都要统一的加一个header,或者说统一的都是用post的请求方式,因为发送ajax之前都会执行以下这个函数,那么就可以用如下方式:
$.ajaxSetup({ beforeSend:function(xhr,settings){ xhr.setRequestHeader('X-CSRFtoken', $.cookie('csrftoken')); //xhr 表示是XMLHTTPResquest的一个对象,因为ajax的发送底层原理就是用这个的 //obj=XMLHTTPReuquest() //obj.open() //obj.send() //settings是下面的ajax的配置,比如settings.type,settings.url,settings.data等等 } });
3.2、ajax的请求方式
说明:所以我们就用完整的ajax请求一次
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
1 <body> 2 <form> 3 <input type="text" name="user" placeholder="用户名"> 4 <input type="password" name="pwd" placeholder="密码"> 5 <input type="checkbox" name="rmb" value="1">10秒免登录 6 <input type="submit" value="登录"> 7 <input id="btn" type="button" value="按钮"> #定义ajax请求的按钮 8 </form> 9 <script src="/static/jquery-1.12.4.js"></script> 10 <script src="/static/jquery.cookie.js"></script> 11 <script> 12 $(function(){ 13 var csrf_token = $.cookie('csrftoken'); #从cookie中获取csrftoken的值 14 $.ajaxSetup({ 15 beforeSend:function(xhr,settings){ 16 //这边可以写成X-CSRFTOKEN,但是官方建议写成X-CSRFtoken,记住了请求头信息不能用下划线,下划线是非法的,所以只能用扛 17 xhr.setRequestHeader('X-CSRFtoken', $.cookie('csrftoken')); 18 //settings是下面的ajax的配置 19 } 20 }); 21 22 $('#btn').click(function(){ 23 $.ajax({ 24 url:'/login/', 25 type:"POST", 26 data:{"user":"root",'pwd':'123'}, 27 //headers:{'X-CSRFtoken':csrf_token}, //写了ajaxSetup,这边就不用写了 28 success:function(arg){ 29 //location.href = '/index/' 30 } 31 }) 32 }) 33 }) 34 </script> 35 </body>
3.3、排除post请求
说明:如果我的ajax里面不是post请求是get请求的话,那咋办,它也会照样需要发送csrf_token,但是我们只想用post请求的时候,去校验这个csrf_token值:
function csrfSafeMethod(method) { // these HTTP methods do not require CSRF protection return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method)); }
所以我们完整的test.html编写如下:
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
1 <!DOCTYPE html> 2 <html> 3 <head lang="en"> 4 <meta charset="UTF-8"> 5 <title></title> 6 </head> 7 <body> 8 {% csrf_token %} 9 10 <input type="button" onclick="Do();" value="Do it"/> 11 12 <script src="/static/plugin/jquery/jquery-1.8.0.js"></script> 13 <script src="/static/plugin/jquery/jquery.cookie.js"></script> 14 <script type="text/javascript"> 15 var csrftoken = $.cookie('csrftoken'); 16 17 function csrfSafeMethod(method) { 18 // these HTTP methods do not require CSRF protection 19 return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method)); 20 } 21 $.ajaxSetup({ 22 beforeSend: function(xhr, settings) { 23 if (!csrfSafeMethod(settings.type) && !this.crossDomain) { 24 xhr.setRequestHeader("X-CSRFToken", csrftoken); 25 } 26 } 27 }); 28 function Do(){ 29 30 $.ajax({ 31 url:"/app01/test/", 32 data:{id:1}, 33 type:'POST', 34 success:function(data){ 35 console.log(data); 36 } 37 }); 38 39 } 40 </script> 41 </body> 42 </html>
更多:https://docs.djangoproject.com/en/dev/ref/csrf/#ajax
三、跨站请求伪造
django为用户实现防止跨站请求伪造的功能,通过中间件 django.middleware.csrf.CsrfViewMiddleware 来完成。而对于django中设置防跨站请求伪造功能有分为全局和局部。
3.1、全局
中间件 django.middleware.csrf.CsrfViewMiddleware
3.2、局部
说明:如果你100个函数,只有两个不用,那么就不用注释掉全局的,用csrf_exempt,如果说100个函数只用两个需要认证,就需要注释掉全局的,然后用csrf_protect。
局部:
- @csrf_protect,为当前函数强制设置防跨站请求伪造功能,即便settings中没有设置全局中间件。
- @csrf_exempt,取消当前函数防跨站请求伪造功能,即便settings中设置了全局中间件。
使用前提:from django.views.decorators.csrf import csrf_exempt,csrf_protect
3.3、具体使用如下:
from django.views.decorators.csrf import csrf_exempt,csrf_protect #这边需要导入这两个模块 @csrf_exempt #不需要认证 def index(request): if request.session.get("is_login",None): return render(request,'index.html') else: return HttpResponse('gun')