CSRF跨站请求伪造

CSRF跨站请求伪造

 

• 方法一

将    “csrfmiddlewaretoken: $("[name='csrfmiddlewaretoken']").val()”放在POST的请求体中。

 

• 方法二

在ajax的请求头中增加X-CSRFToken的请求头，对应的值只能是cookie中的csrftoken的值。

所以我们要从cookie中提取csrftoken的值，jQuery不能去cookie，我们使用jquery.cookie的插件。

HTML中导入jquery.cookie.js

<script src="/static/jquery-3.3.1.min.js"></script>
<script src="/static/jquery.cookie.js"></script>
<script>
 
    $('#login').click(function () {
        $.ajax({
            url: '/login_ajax/',
            type: 'post',
            headers:{ "X-CSRFToken":$.cookie('csrftoken') },
            data: {
                user: $('[name="user"]').val(),
                pwd: $('[name="pwd"]').val()
            },
            success: function (data) {
                data = JSON.parse(data);
               
            }
        })
    })
</script>

• 方法三

使用$.ajaxSetup()给全局的ajax添加默认参数。　

• • ，在请求体中添加CSRF键值对。

$.ajaxSetup({
    data: {
        csrfmiddlewaretoken: $("[name='csrfmiddlewaretoken']").val(),
    }
});

• • 设置请求头　　

$.ajaxSetup({
    headers: {"X-CSRFToken": $.cookie('csrftoken')},
});

• 方法四

官方推荐方法（用到jquery.cookie）

function csrfSafeMethod(method) {
    // these HTTP methods do not require CSRF protection
    return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
}
 
$.ajaxSetup({
    beforeSend: function (xhr, settings) {
        if (!csrfSafeMethod(settings.type) && !this.crossDomain) {
            xhr.setRequestHeader("X-CSRFToken", $.cookie('csrftoken'));
        }
    }
});