今天小编给大家分享一下django的csrf跨站请求怎么伪造的相关知识点,内容详细,逻辑清晰,相信大部分人都还太了解这方面的知识,所以分享这篇文章给大家参考一下,希望大家阅读完这篇文章后有所收获,下面我们一起来了解一下吧。
请看图:
我们自行写了一个网站模仿中国银行,用户不知道是否是真的中国银行,并且提交了转账信息,生成一个form表单,向银行服务器发送转账请求,这个form表单和正规银行网站的form表单一模一样,只不过里面隐藏着改变了转账人的信息,改成了我们自己!!
然后,银行也不知道,因为拿到的表单是正规表单一模一样的,就给我们转了账!!
一般后端都会自带一个csrf校验,就是在给前端的form表单一个唯一的标识,form表单提交给后端,后端需要校验这个唯一标识,不符合就拒绝请求!!返回403(forbidden)
在我们自己写的正规网站,我们就需要在前端写一些标识,这个标识是告诉后端,这个请求是正确的,是我们正规的网站发出的,不是钓鱼网站!!
在需要提交的form表单里的任意位置加上{% form_token %},这时就符合了校验!
// 第一种 利用标签查找获取页面上的随机字符串 data:{"username":'jason','csrfmiddlewaretoken':$('[name=csrfmiddlewaretoken]').val()} // 第二种 利用模版语法提供的快捷书写 data:{"username":'jason','csrfmiddlewaretoken':'{{ csrf_token }}'} // 第三种 通用方式直接拷贝js代码并应用到自己的html页面上即可 data:{"username":'jason'}
ajax通过csrf校验的js代码
function getCookie(name) { var cookieValue = null; if (document.cookie && document.cookie !== '') { var cookies = document.cookie.split(';'); for (var i = 0; i < cookies.length; i++) { var cookie = jQuery.trim(cookies[i]); // Does this cookie string begin with the name we want? if (cookie.substring(0, name.length + 1) === (name + '=')) { cookieValue = decodeURIComponent(cookie.substring(name.length + 1)); break; } } } return cookieValue; } var csrftoken = getCookie('csrftoken'); function csrfSafeMethod(method) { // these HTTP methods do not require CSRF protection return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method)); } $.ajaxSetup({ beforeSend: function (xhr, settings) { if (!csrfSafeMethod(settings.type) && !this.crossDomain) { xhr.setRequestHeader("X-CSRFToken", csrftoken); } } });
当我们在django中注释掉csrf的中间件时,就表示网站所有的post请求都不进行校验;打开csrf中间件时,就表示对于所有的post请求都需要进行校验!
这是,我们思考两个问题:
1.网站整体都不校验csrf,就单单几个视图函数需要校验怎么办
2.网站整体都校验csrf,就单单几个视图函数不校验怎么办
这时,我们需要引入两个装饰器!
from django.views.decorators.csrf import csrf_protect,csrf_exempt from django.utils.decorators import method_decorator # @csrf_exempt #在打开csrf时对局部视图函数不进行校验 # @csrf_protect #在关闭csrf时对局部视图函数进行校验 def transfer(request): if request.method == 'POST': username = request.POST.get('username') target_user = request.POST.get('target_user') money = request.POST.get('money') print('%s给%s转了%s元'%(username,target_user,money)) return render(request,'transfer.html')
from django.views import View # @method_decorator(csrf_protect,name='post') # 针对csrf_protect 第二种方式可以 # @method_decorator(csrf_exempt,name='post') # 针对csrf_exempt 第二种方式不可以 @method_decorator(csrf_exempt,name='dispatch') class MyCsrfToken(View): # @method_decorator(csrf_protect) # 针对csrf_protect 第三种方式可以 # @method_decorator(csrf_exempt) # 针对csrf_exempt 第三种方式可以 def dispatch(self, request, *args, **kwargs): return super(MyCsrfToken, self).dispatch(request,*args,**kwargs) def get(self,request): return HttpResponse('get') # @method_decorator(csrf_protect) # 针对csrf_protect 第一种方式可以 # @method_decorator(csrf_exempt) # 针对csrf_exempt 第一种方式不可以 def post(self,request): return HttpResponse('post') csrf_protect 需要校验 针对csrf_protect符合我们之前所学的CBV装饰器的三种玩法 csrf_exempt 忽视校验 针对csrf_exempt只能给dispatch方法加才有效
以上就是“django的csrf跨站请求怎么伪造”这篇文章的所有内容,感谢各位的阅读!相信大家阅读完这篇文章都有很大的收获,小编每天都会为大家更新不同的知识,如果还想学习更多的知识,请关注亿速云行业资讯频道。
免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。