2. 程式人生 > >7.Django CSRF 中介軟體

7.Django CSRF 中介軟體

阿新 • • 發佈：2018-12-30

CSRF

1.概述

　　CSRF(Cross Site Request Forgery)跨站點偽造請求,舉例來講，某個惡意的網站上有一個指向你的網站的連結，如果某個使用者已經登入到你的網站上了，那麼當這個使用者點選這個惡意網站上的那個連結時，就會向你的網站發來一個請求，你的網站會以為這個請求是使用者自己發來的，其實呢，這個請求是那個惡意網站偽造的。

　　為了避免上面情況的出現，Django引用了CSRF防護機制；Django第一次響應來自某個客戶端的請求時，會在伺服器端隨機生成一個 token，並把這個 token 放在 cookie 裡。然後每次 POST 請求都會帶上這個 token，這樣就能避免被 CSRF 攻擊。如果POST請求中沒有token隨機字串，則返回403拒絕服務

  • 在返回的 HTTP 響應的 cookie 裡，django 會為你新增一個 csrftoken 欄位，其值為一個自動生成的 token
  • 在所有的 POST 表單時，必須包含一個 csrfmiddlewaretoken 欄位 （只需要在模板里加一個 tag， django 就會自動幫你生成，見下面）
  • 在處理 POST 請求之前，django 會驗證這個請求的 cookie 裡的 csrftoken 欄位的值和提交的表單裡的 csrfmiddlewaretoken 欄位的值是否一樣。如果一樣，則表明這是一個合法的請求，否則，這個請求可能是來自於別人的 csrf 攻擊，返回 403 Forbidden。
  • 在所有 ajax POST 請求裡，新增一個 X-CSRFTOKEN header，其值為 cookie 裡的 csrftoken 的值

 2.啟用方式

 settings裡面全域性啟用

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    
 
'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
]

區域性使用方法

先匯入

from django.views.decorators.csrf import csrf_exempt,csrf_protect
@csrf_protect，為當前函式強制設定防跨站請求偽造功能，即便settings中沒有設定全域性中介軟體。
@csrf_exempt，取消當前函式防跨站請求偽造功能，即便settings中設定了全域性中介軟體。

3.form表單提交POST請求

 login.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <form action="/login/" method="post">
        {% csrf_token %}                   
        <input type="text" name="user" />
        <input type="text" name="pwd" />
        <input type="checkbox" name="session" value="1"/>
        <input type="submit" value="提交" />
    </form>
</body>
</html>
from  django.shortcuts import render,HttpResponse,redirect

def login(request):
    if request.method == 'GET':
        return render(request ,'login.html')
    elif request.method == 'POST':
        user = request.POST.get('user')
        pwd = request.POST.get('pwd')
        if user == 'root' and pwd == "123":
            # 生成隨機字串
            # 寫到使用者瀏覽器Cookie
            # 儲存到Session中
            # 　在隨機字串對應的字典中設定相關內容．．．
            request.session['username'] = user
            request.session['if_login'] = True  # 可不加 直接判斷username也可以
            if request.POST.get('session') == '1':  # 單獨設定超時時間，當前session生效，不影響全域性
                request.session.set_expiry(10)  # 10秒
            return redirect('/index/')
        else:
            return redirect('/login/')

def index(request):
    # 獲取當前使用者的隨機字串
    # 根據隨機字串獲取對應資訊
    if request.session.get('if_login'):
        return render(request, 'index.html')
    else:
        return redirect('/login/')
views.py

4.Ajax提交POST請求

 login.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <form action="/login/" method="post">
        {% csrf_token %}
        <input type="text" name="user" />
        <input type="text" name="pwd" />
        <input type="checkbox" name="session" value="1"/>
        <input type="submit" value="提交" />
        <input id='btn' type="button" value="Ajax提交" />
    </form>

    <script src="/static/jquery-1.12.4.js"></script>
    <script src="/static/jquery.cookie.js"></script>

    <script>
        $(function () {
            $('#btn').click(function () {
                $.ajax({
                    url:'/login/',
                    type:'POST',
                    data:{'user':'root','pwd':'123'},
                    headers:{'X-CSRFtoken':$.cookie('csrftoken')},   
                    success:function (arg) {
                    }
                })
            })
        })
    </script>
</body>
</html>

上面html檔案點選提交後，執行成功；但是往往一個程式不止一個Ajax請求，所以我們需要對每個Ajax請求都新增headers請求頭，這樣未免增加很多工作量；這時就需要做全域性設定，不必每個都新增請求頭

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <form action="/login/" method="post">
        {% csrf_token %}
        <input type="text" name="user" />
        <input type="text" name="pwd" />
        <input type="checkbox" name="session" value="1"/>
        <input type="submit" value="提交" />
        <input id='btn' type="button" value="Ajax提交" />
    </form>

    <script src="/static/jquery-1.12.4.js"></script>
    <script src="/static/jquery.cookie.js"></script>

    <script>
        $(function () {
{#            全域性配置，所有Ajax請求都先執行下面操作#}
            $.ajaxSetup({
                beforeSend:function (xhr,settings) {
                    xhr.setRequestHeader('X-CSRFtoken',$.cookie('csrftoken'));
                }
            });

            $('#btn').click(function () {
                $.ajax({
                    url:'/login/',
                    type:'POST',
                    data:{'user':'root','pwd':'123'},
                    success:function (arg) {
                    }
                })
            })
        })
    </script>
</body>
</html>

中介軟體

1.概述

 django 中的中介軟體（middleware），在django中，中介軟體其實就是一個類，在請求到來和結束後，django會根據自己的規則在合適的時機執行中介軟體中相應的方法；在django專案的settings模組中，有一個 MIDDLEWARE 變數，其中每一個元素就是一箇中間件，如下：

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
]

2.中介軟體的五種方法

（1）process_request(self,request)　

請求來時執行，不寫時直接跳過，執行下一個中介軟體；當有return HttpResonse時，下面中介軟體不再執行

（2）process_view(self, request, callback, callback_args, callback_kwargs)   

先執行process_request，執行完後，再從起始執行proces_view

（3）process_template_response(self,request,response)　　

如果Views中的函式返回的物件中，具有render方法，此方法執行

（4）process_exception(self, request, exception)　　           

異常觸發執行，當views.py函式執行出錯後，此方法執行；出錯時，最低層的exception優先順序最高，執行最近的一個，

然後執行respnse方法

（5）process_response(self, request, response)　　　　　　

請求返回時執行，不寫時直接跳過，執行下一個中介軟體；當有return HttpResonse時，會替換原資料

以上方法的返回值可以是None和HttpResonse物件，如果是None，則繼續按照django定義的規則向下執行，如果是HttpResonse物件，則直接將該物件返回給使用者

3.自定義中介軟體

Django主目錄下建立middleware目錄（名字任意），在目錄下建立m.py檔案

1.process_request、process_response的使用

(1)views.py

def test(request):
    print('測試中介軟體')
    return HttpResponse('ok')

(2)m.py

from django.utils.deprecation import MiddlewareMixin
from django.shortcuts import HttpResponse

class Row1(MiddlewareMixin):    #繼承MiddlewareMixin類
    def process_request(self,request):
        print('第一個中介軟體')
        # return HttpResponse('滾')   #加return，到這裡就不會繼續往下走了

    def process_response(self,request,response):
        print('返回資訊3')
        return response


class Row2(MiddlewareMixin):  # 繼承MiddlewareMixin類
    def process_request(self, request):
        print('第二個中介軟體')

    def process_response(self, request, response):
        print('返回資訊2')
        return response


class Row3(MiddlewareMixin):  # 繼承MiddlewareMixin類
    def process_request(self, request):
        print('第三個中介軟體')

    def process_response(self, request, response):
        print('返回資訊1')
        return response

(3)settings裡面加上自定義的中介軟體

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    'middleware.m.Row1',
    'middleware.m.Row2',
    'middleware.m.Row3',
]

（4）執行結果

第一個中介軟體
第二個中介軟體
第三個中介軟體
測試中介軟體
返回資訊1
返回資訊2
返回資訊3

2.process_view

m.py

from django.utils.deprecation import MiddlewareMixin
from django.shortcuts import HttpResponse

class Row1(MiddlewareMixin):    #繼承MiddlewareMixin類
    def process_request(self,request):
        print('第一個中介軟體')

    def process_view(self, request, view_func, view_func_args, view_func_kwargs):
        print('view11')

    def process_response(self,request,response):
        print('返回資訊3')
        return response


class Row2(MiddlewareMixin):  # 繼承MiddlewareMixin類
    def process_request(self, request):
        print('第二個中介軟體')

    def process_view(self, request, view_func, view_func_args, view_func_kwargs):
        print('view22')

    def process_response(self, request, response):
        print('返回資訊2')
        return response


class Row3(MiddlewareMixin):  # 繼承MiddlewareMixin類
    def process_request(self, request):
        print('第三個中介軟體')

    def process_view(self, request, view_func, view_func_args, view_func_kwargs):
        print('view33')

    def process_response(self, request, response):
        print('返回資訊1')
        return response

執行結果：

第一個中介軟體
第二個中介軟體
第三個中介軟體
view11
view22
view33
測試中介軟體
返回資訊1
返回資訊2
返回資訊3

相關推薦

7.Django CSRF 中介軟體

CSRF 1.概述 　　CSRF(Cross Site Request Forgery)跨站點偽造請求,舉例來講，某個惡意的網站上有一個指向你的網站的連結，如果某個使用者已經登入到你的網站上了，那麼當這個使用者點選這個惡意網站上的那個連結時，就會向你的網站發來一個請求，你的網站會以為這個請求是使用者自己發

django的csrf中介軟體

Django的csrf中介軟體 CSRF：跨站請求偽造Cross Site Request Forgery CSRF的攻擊流程 使用者a 訪問可信站點1做業務處理，此時瀏覽器會儲存該網站的cookie，當用戶a 訪問不可信站點2時，如果站點2有指向站點1的連結時候，那麼攻擊就用

Django元件 中介軟體

中介軟體的概念 中介軟體是介於request與response處理之間的一道處理過程，相對比較輕量級，並且在全域性上改變django的輸入與輸出。因為改變的是全域性，所以需要謹慎使用，用不好會影響到效能。 如果你想修改請求，例如被傳送到view中的HttpRequest物件。或者你想修改view返回的Ht

Django元件:中介軟體

一.中介軟體的概念 中介軟體顧名思義，是介於request與response處理之間的一道處理過程，相對比較輕量級，並且在全域性上改變django的輸入與輸出。因為改變的是全域性，所以需要謹慎實用，用不好會影響到效能。 Django的中介軟體的定義： Middleware is a framewo

014---Django的中介軟體

 前戲 我們在前面的課程中已經學會了給檢視函式加裝飾器來判斷是使用者是否登入，把沒有登入的使用者請求跳轉到登入頁面。我們通過給幾個特定檢視函式加裝飾器實現了這個需求。但是以後新增的檢視函式可能也需要加上裝飾器，這樣是不是稍微有點繁瑣。 學完今天的內容之後呢，我們就

Django專題-中介軟體

  前戲 　　我們給檢視函式加裝飾器來判斷是使用者是否登入，把沒有登入的使用者請求跳轉到登入頁面。我們通過給幾個特定檢視函式加裝飾器實現了這個需求。但是以後新增的檢視函式可能也需要加上裝飾器，這樣是不是稍微有點繁瑣。 　　我們就可以通過中介軟體的方式來實現類似給所有請求都做相同操作的

django的中介軟體的理解

 django的生命週期是:前端請求--->nginx--->uwsgi.--->中介軟體--->url路由---->view試圖--->orm---->拿到資料返回給view---->試圖將資料渲染到模版中拿到字串---->中介軟體--->

淺談Django的中介軟體與Python的裝飾器

淺談Django的中介軟體 與Python的裝飾器 一、原理 1.裝飾器是Python的一種語法應用，利用閉包的原理去更改一個函式的功能，即讓一個函式執行之前先到另外一個函式中執行其他需求語句，在執行該函式。在開發專案中，通常使用裝飾器來管理許可權，登入等等，配上Python的 @ 語法糖，輕鬆實現程式碼

Django元件---中介軟體

中介軟體的概念 中介軟體顧名思義，是介於request與response處理之間的一道處理過程，相對比較輕量級，並且在全域性上改變django的輸入與輸出。因為改變的是全域性，所以需要謹慎實用，用不好會影響到效能。 Django的中介軟體的定義：

django-基於中介軟體實現限制ip頻繁訪問

########django-基於中介軟體寫一個限制頻繁登陸######## 額額，標題已經很醒目了，通過中介軟體去實現，其他方法也可以實現 瀏覽器前端傳來的請求，必須通過中介軟體，才能到後面路由，檢視函式，所以我們在中介軟體那裡做一層處理， 我們還需要知道是哪個ip，在什麼時候，請求了幾次，這些資

python Django之中介軟體

Django中介軟體 在http請求 到達檢視函式之前   和檢視函式return之後，django會根據自己的規則在合適的時機執行中介軟體中相應的方法。 中介軟體的執行流程 1、執行完所有的request方法 到達檢視函式。 2、執行中介軟體的其他方法 2、經過所有r

django的中介軟體---介紹與重寫

django 中的中介軟體（middleware），在django中，中介軟體其實就是一個類，在請求到來和結束後，django會根據自己的規則在合適的時機執行中介軟體中相應的方法。 在django專案的settings模組中，有一個 MIDDLEWARE_CLA

django專案搭建及Session使用（django+session+中介軟體 ）

# coding=utf-8 import sys reload(sys) sys.setdefaultencoding('utf-8') import datetime from django.contrib.sessions.backends.db import SessionStore from d

django框架--中介軟體系統

目錄 零、參考 https://www.jb51.net/article/136422.htm https://www.jb51.net/article/143832.htm https://www.jb51.net/article/69953.htm 一、中介軟體的基本理解 我對django中介軟體的理解

Django使用中介軟體進行流量統計

為了統計網站訪問流量，計劃做一個訪問資訊統計， 配置：Ubuntu18.4，阿里雲伺服器，已經執行的Django專案（可以現在本地測試），為了便於檢視，本地最好安裝redis desk manager客戶端，客戶端連線雲伺服器流程，可以看另一篇文章： redis desk manager

細說Django的中介軟體

分析Django的生命週期,我們知道所有的http請求都要經過Django的中介軟體.假如現在有一個需求,所有到達服務端的url請求都在系統中記錄一條日誌,該怎麼做呢?Django的中介軟體的簡介Django的中介軟體類似於linux中的管道符Django的中介軟體實質就是一個類,類之中有Django已經定義

Django之中介軟體

中介軟體簡介什麼是中介軟體中介軟體是一個用來處理Django的請求和響應的框架級別的鉤子。它是一個輕量、低級別的外掛系統，用於在全域性範圍內改變Django的輸入和輸出。每個中介軟體元件都負責做一些特定的功能。說的直白一點中介軟體是幫助我們在檢視函式執行之前和執行之後都可以做一些額外的操作，它本質上就是一個自

Django開發——中介軟體

有些場合，需要對Django處理的每個request都執行某段程式碼，這類程式碼可能是在view處理之前修改傳入的request，或者記錄日誌資訊以便用於除錯。這類功能可以用Django的中介軟體框架來實現。 安裝中介軟體 要啟用一箇中間件，只需將其新增到配置模

Django的中介軟體原理&執行

分析Django的生命週期,我們知道所有的http請求都要經過Django的中介軟體. 假如現在有一個需求,所有到達服務端的url請求都在系統中記錄一條日誌,該怎麼做呢？ （寫的非常詳細呀！） Django的中介軟體的簡介 Django的中介軟體類似於linux中的管

Django中中介軟體的使用

Django中的中介軟體是一個輕量級、底層的外掛系統，可以介入Django的請求和響應處理過程，修改Django的輸入或輸出。中介軟體的設計為開發者提供了一種無侵入式的開發方式，增強了Django框架的健壯性。我們可以使用中介軟體，在Django處理檢視的不同階段對輸入或輸出