django框架CSRF防护原理与用法分析
作者：笑-笑-生 发布时间：2022-02-16 09:37:11
本文实例讲述了django框架CSRF防护。分享给大家供大家参考，具体如下：
CSRF防护
一、什么是CSRF？
CSRF： Cross-site request forgery，跨站请求伪造
用户登录了正常的网站A， 然后再访问某恶意网站，该恶意网站上有一个指向网站A的链接，那么当用户点击该链接时，则恶意网站能成功向网站A发起一次请求，实际这个请求并不是用户想发的，而是伪造的，而网站A并不知道。
攻击者利用了你的身份，以你的名义发送恶意请求，比如：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账等。
如果想防止CSRF，首先是重要的信息传递都采用POST方式而不是GET方式，接下来就说POST请求的攻击方式以及在Django中的避免
二、CSRF攻击演示
步骤1：登录成功后进入发帖界面，进行发帖（使用post请求发帖，测试时先关闭csrf中间件）
步骤2：限制登录成功后才能发帖
可通过session保存登录成功的用户名
判断session中是否有保存用户名，有才允许发帖
步骤3：CSRF攻击演示
三、CSRF防护
重要信息如金额、积分等的获取，采用POST请求
开启CSRF中间件（默认就是开启的）
# 项目下的setting.py
MIDDLEWARE_CLASSES = (
...
# 开启csrf中间件（默认是开启的）
'django.middleware.csrf.CsrfViewMiddleware',
...
)
表单post提交数据时加上 {％ csrf_token ％} 标签
四、防御原理【了解】
服务器在渲染模板文件时，会在html页面中生成一个名字叫做 csrfmiddlewaretoken 的隐藏域。
服务器会让浏览器保存一个名字为 csrftoken 的cookie信息
post提交数据时，两个值都会发给服务器，服务器进行比对，如果一样，则csrf验证通过，否则提示403 Forbidden
希望本文所述对大家基于Django框架的Python程序设计有所帮助。
来源：https://blog.csdn.net/weixin_41790086/article/details/80847340
0
投稿猜你喜欢
- 提到SQL Server 2005证书，很多人可能以为它只是用来在传输数据的时候起到加密作用的，但在深入了解后，你会发现它的用处还有很多。
- 1、检测指定路径下所有文件所占用内存import osdef check_memory(path, style='M'):
- 本文实例形式较为详细的讲述了Python socket编程。分享给大家供大家参考。具体如下：sock=socket.socket(socke
- 这篇文章主要介绍了Python读取YAML文件过程详解,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋
- 1. 准备工作下载源码包wget http://python.org/ftp/python/2.7.3/Python-2.7.3.tar.b
- 题目：用 JavaScript 代码实现空位补零，比如 pad(12, 3) => 012实现一：/* 平淡无奇法 */functio
首先恭喜月影，当然希望好书大卖！原文提供了样章下载1.1M，pdf格式的。如果大家想下载可以访问源地址：http://bbs.51js.co- pprint的英文全称Data pretty printer，顾名思义就是让显示结果更漂亮。print()和pprint()都是python
- 类的定义 类定义有三种基本方法，1、创建并能返回特定类型的对象的函数（工厂函数），例如：function Co(){ var o = new
- 今天萌发一个想法，用css来实现透视效果。起初，我想到的是我们常见的添加阴影效果的方法，用多个div通过偏移来实现，但这需要很多 div，不
- MaxDB和MySQL是独立的数据库管理服务器。系统间的协同性是可能的，通过相应的方式，系统能够彼此交换数据。要想在MaxDB和MySQL之
- MySQL 拥有一个复杂的但直观易学的 SQL 接口。这个章节描述了各种不同的命令、类型和函数，为了高效地使用 MySQL 需要了解它们。这
- 在上一篇关于绘画Sankey桑葚图的文章里，已经介绍过大致的过程，本文主要解决如何自定义/修改 所想要的颜色， 如下所示一个桑葚图：想要修改
- 前言最近重新再看python的基础知识，感觉自己还是对于这些知识很陌生，需要用的时候还是需要翻书查阅，还是先注重基础吧——我要重新把pyth
- 观察者模式结构图概念一个"演员"（被观察者），一群"观众"（观察者），一台"摄影机&quo
- LDA(Latent Dirichlet allocation)模型是一种常用而用途广泛地概率主题模型。其实现一般通过Variational
- 1.如果客户端和服务器端的连接需要跨越并通过不可信任的网络，那么就需要使用SSH隧道来加密该连接的通信。2.用set password语句来
- Asp中Server.ScriptTimeOut属性需要注意的一点Server.ScriptTimeout 这个属性给定Asp脚
- 1. 介绍torch.norm()是对输入的tensor求对应的范数。tensor的范数有以下三种：1.1 p-范数1.2 Frobeniu
- 本文总结了YiiFramework入门知识点。分享给大家供大家参考，具体如下：创建Yii应用骨架web为网站根目录yiic webapp /
