CSRF（Cross-site request forgery）跨站請求偽造，也被稱為“One Click Attack”或者Session Riding，通常縮寫為CSRF或者XSRF，是一種對網站的惡意利用。 ——百度百科

網上關於csrf攻擊的一個最典型的例子是銀行通過url+引數轉錢的問題，很好理解。

flask 作為一個強帶的web微框架，自然也是支援防範csrf攻擊的。

通過Flask-WTF來保護表單免受CSRF攻擊

何為Flask-WTF

簡單說來，使用它可以方便我們構建表單和驗證表單，具體用法這裡不做贅述

怎麼開啟保護？

極少的配置，一個應用令牌：

app.config['SECRET_KEY'] = 'you can't know'
或csrf專用令牌
app.config['WTF_CSRF_SECRET_KEY'] = 'IT 666 to 709 kill pic'

Flask-WTF預設是開啟CSRF保護的，你需要的做的是在你的模板中表單一欄加入：

{{ form.csrf_token }}
或者
{{ form.hidden_tag() }}

這樣，csrf保護已經開啟。如若你沒有上面的程式碼，提交表單會無法通過form.validate_on_submit(),錯誤為{'csrf_token': ['The CSRF token is missing.']}

關閉保護

自然，我們很可能有的表單不需要保護，那麼，以下三種：

1. 全域性禁用：app.config中設定WTF_CSRF_ENABLED = False
2. 單個表單禁用：生成表單時加入引數form = Form(csrf_enabled=False)
3. 不使用Flask-WTF…啊啊，這個很好理解

flask 內建的保護機制

有些時候，我根本就用不到Flask-WTF,那麼我可以使用flask自身提供的保護機制。

開啟保護

要開啟csrf攻擊保護，需要一下幾個步驟。

from flask_wtf.csrf import
 
 CSRFProtect

app.config['SECRET_KEY'] = 'you never guess'
CSRFProtect(app)

主要為：匯入方法，設定金鑰，進行保護。
這時候對於一個普通的form，如果你沒有

<input type="hidden" name="csrf_token" value="{{ csrf_token() }}" />

flask會丟擲http錯誤。

臨時關閉保護

那麼，如何臨時關閉csrf保護呢。
上面的程式碼做修改：

去掉 CSRFProtect(app)
改為 csrf = CSRFProtect()

if __name__ == '__main__':中加入
csrf.init_app(app)

在不需要保護的路由上當加上:
@csrf.exempt

如此，臨時關閉了csrf。