Django之CSRF及装饰器的使用

1. CSRF是基于中间件的process_view方法实现的

2. CSRF（Cross-site request forgery）又称为跨站请求伪造，也被称为"One Click Attack"或者"Session Riding"，在Django中被称为CSRF，在Tornado中被称为XSRF，是一种对网站的恶意利用。

3. https://baike.baidu.com/item/CSRF/2735433   详细介绍

4. 在Django中，如果有需要通过form表单进行数据提交的话，就需要在网站页面form表单里面添加{% csrf_token %}，例如：

<form class="navbar-form navbar-left">
    <div class="form-group">
        {% csrf_token %} 添加
        <input type="text" class="form-control" name="search" id="search" placeholder="请输入id/用户名/手机号">
    </div>
    <button type="submit" class="btn btn-default">提交</button>
</form>     

使用csrf后，会自动生成一个随机字符串，在用户提交数据后，这个随机字符串也一并会被提交，并和后端的进行比较，如果一致，则执行成功，如果不一样，则执行失败

5. 如果在全栈都使用csrf的时候，要对部分的函数禁用csrf的话，就需要对这部分的函数加上一个装饰器：

from django.views.decorators.csrf import csrf_exempt

@csrf_exempt 
def delete(request):
　　"""
　　:param request: 删除用户
　　:return: 
　　"""
    if request.method == 'POST':
        del_user = request.POST.get('username')
        models.User.objects.filter(user=del_user).delete()
        return redirect('/backstage/')

    return render(request,'delete.html')

 

加上这个装饰器后，请求到这个函数的时候，就不会在对这个函数进行csrf检测了


6. 局部使用csrf，当把settings中的csrf注释掉以后，如果有函数需要使用csrf的话，则就需要导入模块csrf_protect

from django.views.decorators.csrf import csrf_protect

@csrf_protect 
def delete(request):
    """
    :param request: 删除用户
    :return: 
    """

    if request.method == 'POST':
        del_user = request.POST.get('username')
        models.User.objects.filter(user=del_user).delete()
        return redirect('/backstage/')

    return render(request,'delete.html')

 

 

7. 如果再CBV中使用csrf的话和在FBV中是不一样的，必须是给这个类统一加上一个装饰器，比如：

from django.views import View
from django.views.decorators.csrf import csrf_protect,csrf_exempt
from django.utils.decorators import method_decorator

@method_decorator(csrf_protect,name='post') 只能是调用method_decorator来添加装饰器，不过可以在里面指定一个name，如果只想给post方法使用csrf的话，则直接name='post'就可以，不能直接在方法上面加
class Foo(View):

    def get(self):
        pass

    def post(self):
        pass

PS:在django中，如果想使用装饰器的话，上面的例子则是一个办法，还有另外的方法是直接在方法名上加@method_decorator(wrapper)，比如：
from django.views import View
from django.utils.decorators import method_decorator

class Foo(View):
    @method_decorator(wrapper) 也可以在方法名上面加，和上面的使用方法一样
    def get(self):
        pass

    def post(self):
        pass        

 

只有在使用csrf的时候只能在类名上面加装饰器，使用普通装饰器的时候则不用遵循这个规则

8. Ajax提交数据时候，携带CSRF：
a. 放置在data中携带

<form method="POST" action="/csrf1.html">
    {% csrf_token %}
    <input id="user" type="text" name="user" />
    <input type="submit" value="提交"/>
    <a onclick="submitForm();">Ajax提交</a>
</form>
<script src="/static/jquery-1.12.4.js"></script>
<script>
    function submitForm(){
        var csrf = $('input[name="csrfmiddlewaretoken"]').val();
        var user = $('#user').val();
        $.ajax({
            url: '/csrf1.html',
            type: 'POST',
            data: { "user":user,'csrfmiddlewaretoken': csrf},
            success:function(arg){
                console.log(arg);
            }
        })
    }
</script>

 

b. 放在请求头中

<form method="POST" action="/csrf1.html">
    {% csrf_token %}
    <input id="user" type="text" name="user" />
    <input type="submit" value="提交"/>
    <a onclick="submitForm();">Ajax提交</a>
</form>
<script src="/static/jquery-1.12.4.js"></script>
<script src="/static/jquery.cookie.js"></script>

<script>
    function submitForm(){
        var token = $.cookie('csrftoken');
        var user = $('#user').val();
        $.ajax({
            url: '/csrf1.html',
            type: 'POST',
            headers:{'X-CSRFToken': token},
            data: { "user":user},
            success:function(arg){
                console.log(arg);
            }
        })
    }
</script>