Django csrf 验证问题的实现

关于 csrf 的基本了解

百度百科：CSRF（Cross-site request forgery）跨站请求伪造，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。通过伪装来自受信任用户的请求来利用受信任的网站。

简单来说就是攻击者盗用你的身份，以你的名义来发送恶意请求。比如说用户通过账号密码访问了网站A，A网站将一些cookie信息保存在浏览器中实现用户状态行为跟踪。这时用户又打开了B网站，B网站返回了一些恶意代码，并请求访问A。这样浏览器就会携带cookie以用户的权限访问A网站并执行代码。而在服务器看来，这些都是正常的用户操作。

Django 提供的 CSRF 防护机制

django 第一次响应来自某个客户端的请求时，会在服务器端随机生成一个 token，把这个 token 放在 cookie 里。然后每次 POST 请求都会带上这个 token，

这样就能避免被 CSRF 攻击。

1.在返回的 HTTP 响应的 cookie 里，django 会为你添加一个 csrftoken 字段，其值为一个自动生成的 token
2.在所有的 POST 表单时，必须包含一个 csrfmiddlewaretoken 字段 （只需要在模板里加一个 tag， django 就会自动帮你生成，见下面）
3.在处理 POST 请求之前，django 会验证这个请求的 cookie 里的 csrftoken 字段的值和提交的表单里的 csrfmiddlewaretoken 字段的值是否一样。如果一样，则表明这是一个合法的请求，否则，这个请求可能是来自于别人的 csrf 攻击，返回 403 Forbidden.
4.在所有 ajax POST 请求里，添加一个 X-CSRFTOKEN header，其值为 cookie 里的 csrftoken 的值

Django 里如何使用 CSRF 防护

在Django 中对csrf 的防范

Django中自带了防止csrf攻击的功能，但对于初学者来说可能不知道如何使用，并给自己带来些意外的麻烦。

例如：一个正常的表单提交操作却总是报错。

Django 中GET请求不需要csrf认证，post请求需要正确的认证才能得到正确的返回结果。

我们先处理一下对表单提交的 csrf 验证问题：一般在POST表单中加入{% csrf_token %}

<form method="POST" action="#">{% csrf_token %}  <input name='password' value='用户密码'></form>

加入了这句话后，再次提交post表单就不会出现问题了。

或者是另一个思路：禁用csrf