django框架CSRF防护原理与用法分析
作者：笑-笑-生 发布时间：2022-02-16 09:37:11
本文实例讲述了django框架CSRF防护。分享给大家供大家参考，具体如下：
CSRF防护
一、什么是CSRF？
CSRF： Cross-site request forgery，跨站请求伪造
用户登录了正常的网站A， 然后再访问某恶意网站，该恶意网站上有一个指向网站A的链接，那么当用户点击该链接时，则恶意网站能成功向网站A发起一次请求，实际这个请求并不是用户想发的，而是伪造的，而网站A并不知道。
攻击者利用了你的身份，以你的名义发送恶意请求，比如：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账等。
如果想防止CSRF，首先是重要的信息传递都采用POST方式而不是GET方式，接下来就说POST请求的攻击方式以及在Django中的避免
二、CSRF攻击演示
步骤1：登录成功后进入发帖界面，进行发帖（使用post请求发帖，测试时先关闭csrf中间件）
步骤2：限制登录成功后才能发帖
可通过session保存登录成功的用户名
判断session中是否有保存用户名，有才允许发帖
步骤3：CSRF攻击演示
三、CSRF防护
重要信息如金额、积分等的获取，采用POST请求
开启CSRF中间件（默认就是开启的）
# 项目下的setting.py
MIDDLEWARE_CLASSES = (
...
# 开启csrf中间件（默认是开启的）
'django.middleware.csrf.CsrfViewMiddleware',
...
)
表单post提交数据时加上 {％ csrf_token ％} 标签
四、防御原理【了解】
服务器在渲染模板文件时，会在html页面中生成一个名字叫做 csrfmiddlewaretoken 的隐藏域。
服务器会让浏览器保存一个名字为 csrftoken 的cookie信息
post提交数据时，两个值都会发给服务器，服务器进行比对，如果一样，则csrf验证通过，否则提示403 Forbidden
希望本文所述对大家基于Django框架的Python程序设计有所帮助。
来源：https://blog.csdn.net/weixin_41790086/article/details/80847340
0
投稿猜你喜欢
- --取得所有数据库名 包括系统数据库 --SELECT name FROM master.dbo.sysdatabases --取得所有非系
1、解压到想要安装的位置，创建my.ini文件my.ini的内容如下[mysql]# 设置mysql客户端默认字符集default-char- MySQL数据库收到一个网络连接后，首先拿到对方的IP地址，然后对这个IP地址进行反向DNS解析从而得到这个IP地址对应的主机名。用主机名在
- 支持CSS属性Safari和WebKit实施大子的CSS 2.1规格所界定的万维网联盟（ W3C ） ，以及部分的CSS 3规格。 。这个C
- python的format函数通过{}来格式化字符串>>> a='{0}'.format(123)>
- Smarty Smarty的特点是将模板编译成PHP脚本，然后执行这些脚本。很快，非常灵活。 Heyes Template&nbs
- 本文实例讲述了Python基于回溯法子集树模板解决m着色问题。分享给大家供大家参考，具体如下：问题图的m-着色判定问题给定无向连通图G和m种
- 一 引入jwtjwt用户身份验证go get github.com/dgrijalva/jwt-go二 框架中引入jwtimport (&q
- 现在对于python2版本，直接修改python.exe名字为python2.exe，命令python2 -m pip install --
- 前言写过的这些脚本有一个共性，都是和web相关的，总要用到获取链接的一些方法，累积不少爬虫抓站的经验，在此总结一下，那么以后做东西也就不用重
- 编写程序的时候，经常要处理字符串，最基本就是字符串的查找，在php检测字符串中是否包含指定字符串可以使用正则，如果你对正则不了解，那么有几个
- 前言用python编程绘图，其实非常简单。中学生、大学生、研究生都能通过这10篇教程从入门到精通！快速绘制几种简单的柱状图。1垂直柱图（普通
- 本文实例为大家分享了Jsp+Servlet实现简单登录注册查询的具体代码，供大家参考，具体内容如下1、注册功能：制作一个注册页面用户输入：用
- 本文是在上篇文章Python中的type和object，做的补充，希望大家喜欢。这篇博客主要描述Python的新风格对象(new-style
- CPU-bound(计算密集型) 和I/O bound(I/O密集型)计算密集型任务(CPU-bound) 的特点是要进行大量的计算，占据着
- 前言最近在项目中需要输出彩色的文字来提醒用户，以前写过，但是只能在win上面运行。今天搜了下看有没有在win和Linux上通用的输出彩色文字
- 如下所示：import loggingimport logging.configlogging.config.fileConfig(path
- 在实际开发中经常会遇到计算某个字段的排名的情况如下表：totak_sales现在又如此要求：按sales的逆序排序，要求添加一个sales_
- #-*- coding: utf-8 -*-import datetime#给定日期向后N天的日期def dateadd_day(days)
- 对于网站设计者而言，时常处理大批量的文件是难免的，特别是图片和一些文本文本文件，更是经常处理。而由于网站大量文件的关系，对于同类
