django框架CSRF防护原理与用法分析-创新互联

本文实例讲述了django框架CSRF防护。分享给大家供大家参考，具体如下：

CSRF防护

一、什么是CSRF？

CSRF： Cross-site request forgery，跨站请求伪造

用户登录了正常的网站A， 然后再访问某恶意网站，该恶意网站上有一个指向网站A的链接，那么当用户点击该链接时，则恶意网站能成功向网站A发起一次请求，实际这个请求并不是用户想发的，而是伪造的，而网站A并不知道。

攻击者利用了你的身份，以你的名义发送恶意请求，比如：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账等。

如果想防止CSRF，首先是重要的信息传递都采用POST方式而不是GET方式，接下来就说POST请求的攻击方式以及在Django中的避免

二、CSRF攻击演示

步骤1：登录成功后进入发帖界面，进行发帖（使用post请求发帖，测试时先关闭csrf中间件）

步骤2：限制登录成功后才能发帖

• 可通过session保存登录成功的用户名
• 判断session中是否有保存用户名，有才允许发帖

步骤3：CSRF攻击演示

三、CSRF防护

重要信息如金额、积分等的获取，采用POST请求

开启CSRF中间件（默认就是开启的）

# 项目下的setting.py
MIDDLEWARE_CLASSES = (
  ...
  # 开启csrf中间件（默认是开启的）
  'django.middleware.csrf.CsrfViewMiddleware',
  ...
)

另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。