一、CSRF简介
CSRF全拼为Cross Site Request Forgery，译为跨站请求伪造。CSRF指攻击者盗用了你的身份，以你的名义发送恶意请求。CSRF能够做的事情包括：以你名义发送邮件，发消息，盗取你的账号，甚至于购买商品，虚拟货币转账......造成的问题包括：个人隐私泄露以及财产安全。
二、CSRF示意图如下：
如果想防止CSRF，首先是重要的信息传递都采用POST方式而不是GET方式，接下来就说POST请求的攻击方式以及在Django中的避免。
三、伪造代码
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Title</title>
</head>
<body>
<form action="http://www.bank.com/pay">
<input type="hidden" value="222332223" name="card_no" >
<input type="hidden" value="300000" name="money" >
</form>
</body>
</html>
这段代码执行后，银行账号被莫名的转走30w元。
四、防止CSRF
为了防止csrf攻击，只需要在python代码的form中加上这样一小段就可以搞定：
{% csrf_token %}
其原理如下：
if request['csrfmiddlewaretoken'] == request.COOKIES['csrftoken']:
print('通过验证')
else:
print('验证不通过，报403错误')
如果你觉得本文章对你有所帮助，请持续关注我的博客。
浙公网安备 33010602011771号