Django | 从中间件的角度理解跨站请求伪造(Cross-Site Request Forgey)[CSRF攻击]

news2024/12/24 9:19:08

文章目录

- 切入点
- 案例测试
- - views.py测试代码
  - templates模板下的html文件
  - 配置路由
  - 运行服务出现CSRF报错
  - 解决CRSF报错
  - 再次运行服务查看结果

切入点

某些恶意网站上包含链接、表单按钮或者]avaScript,它们会利用登录过的用户在浏览器中的认证信息试图在你的网站上完成某些操作
在这里插入图片描述

Gjango如何做?

存储暗号：html页面一个 ||| COOKIE 一个
Django在一定的运算下比对两个暗号是一致的就不会发生403错

我们通过一个案例来理解

案例测试

确保CSRF中间件功能已经启动
在这里插入图片描述

views.py测试代码

def test_csrf(request):
    if request.method == 'GET':
        return render(request, 'test_csrf.html')
    elif request.method == 'POST':
        return HttpResponse('---test post is ok---')

templates模板下的html文件

注意此时 html没有暗号

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>test_csrf</title>
</head>
<body>

    <form action="/test_csrf" method="post">

        <input type="text"  name="username">
        <input type="submit"  value="提交">

    </form>
</body>
</html>

配置路由

path(‘test_csrf’,views.test_csrf),

运行服务出现CSRF报错

python manage.py runserver

网页查看

网页报错403，CSRF验证失败，同时给出了我们具体的解决方案

解决CRSF报错

html添加暗号

    <form action="/test_csrf" method="post">
        {% csrf_token %}   
        <input type="text"  name="username">
        <input type="submit"  value="提交">

    </form>