码迷,mamicode.com
首页 > 编程语言 > 详细

python 学习笔记十九 django项目bbs论坛

时间:2016-06-10 19:12:13      阅读:211      评论:0      收藏:0      [点我收藏+]

标签:

跨站请求伪造保护

CSRF 中间件和模板标签提供对跨站请求伪造简单易用的防护。某些恶意网站上包含链接、表单按钮或者JavaScript ,它们会利用登录过的用户在浏览器中的认证信息试图在你的网站上完成某些操作,这就是跨站攻击。还有另外一种相关的攻击叫做“登录CSRF”,攻击站点触发用户浏览器用其它人的认证信息登录到其它站点。

全局:

  中间件 django.middleware.csrf.CsrfViewMiddleware

局部:

  • @csrf_protect,为当前函数强制设置防跨站请求伪造功能,即便settings中没有设置全局中间件。
  • @csrf_exempt,取消当前函数防跨站请求伪造功能,即便settings中设置了全局中间件。

注:from django.views.decorators.csrf import csrf_exempt,csrf_protect

 

使用csrf:

1.普通表单

veiw中设置返回值:
  return render_to_response(Account/Login.html,data,context=RequestContext(request))  
  或者   
return render(request, xxx.html, data) html中设置Token:   <form action="." method="post"> {% csrf_token %}

2.ajax

虽然上面的方法可以用于AJAX POST 请求,但是它不太方便:你必须记住在每个POST 请求的数据中传递CSRF token。

由于这个原因,还有另外一种方法:在每个XMLHttpRequest 上设置一个自定义的X-CSRFToken 头部,其值为CSRF token。

注:

CSRF token 的Cookie 默认叫做csrftoken,你可以通过CSRF_COOKIE_NAME 设置自定义它的名字。

CSRF header 默认叫做 HTTP_X_CSRFTOKEN ,你可以通过CSRF_HEADER_NAME 设置自定义它的名字。

// using jQuery
function getCookie(name) {
    var cookieValue = null;
    if (document.cookie && document.cookie != ‘‘) {
        var cookies = document.cookie.split(;);
        for (var i = 0; i < cookies.length; i++) {
            var cookie = jQuery.trim(cookies[i]);
            // Does this cookie string begin with the name we want?
            if (cookie.substring(0, name.length + 1) == (name + =)) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}
var csrftoken = getCookie(csrftoken);

以上代码可以使用JavaScript Cookie library来替换getCookie

var csrftoken = Cookies.get(csrftoken);

实例:

技术分享
from django.template.context import RequestContext
# Create your views here.
  
  
def test(request):
  
    if request.method == ‘POST‘:
        print request.POST
        return HttpResponse(‘ok‘)
    return  render_to_response(‘app01/test.html‘,context=RequestContext(request))
views
<!DOCTYPE html>
<html>
<head lang="en">
    <meta charset="UTF-8">
    <title></title>
</head>
<body>
    {% csrf_token %}
  
    <input type="button" onclick="Do();"  value="Do it"/>
  
    <script src="/static/plugin/js/jquery-1.8.0.js"></script>
    <script src="/static/plugin/js/js.cookie.js"></script>
    <script type="text/javascript">
        var csrftoken = Cookies.get(csrftoken);
  
        function csrfSafeMethod(method) {
            // these HTTP methods do not require CSRF protection
            return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
        }
        $.ajaxSetup({
            beforeSend: function(xhr, settings) {
                if (!csrfSafeMethod(settings.type) && !this.crossDomain) {
                    xhr.setRequestHeader("X-CSRFToken", csrftoken);
                }
            }
        });
        function Do(){
  
            $.ajax({
                url:"/app01/test/",
                data:{id:1},
                type:POST,
                success:function(data){
                    console.log(data);
                }
            });
  
        }
    </script>
</body>
</html>

 

python 学习笔记十九 django项目bbs论坛

标签:

原文地址:http://www.cnblogs.com/koka24/p/5566349.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!