2. 程式人生 > >Django中CSRF原理及應用詳解

Django中CSRF原理及應用詳解

阿新 • • 發佈：2018-12-11

 Web開發中十分重要的一項內容就是Web安全，在我們進行服務端構建的時候，最常見的幾種Web攻擊無非是下面的這幾種：

           1.注入（SQL注入）

           2.跨站指令碼攻擊（XSS）

           3.跨站請求偽造（CSRF）

           4.開放重定向

今天主要就CSRF做一個簡單的總結，結合Python Web框架Django 做一個應用

一、CSRF是什麼

跨站請求偽造（CSRF）與跨站請求指令碼正好相反。跨站請求指令碼的問題在於，客戶端信任伺服器端傳送的資料。跨站請求偽造的問題在於，伺服器信任來自客戶端的資料。

二、無CSRF時存在的隱患

跨站請求偽造是指攻擊者通過HTTP請求江資料傳送到伺服器，從而盜取回話的cookie。盜取回話cookie之後，攻擊者不僅可以獲取使用者的資訊，還可以修改該cookie關聯的賬戶資訊。

三、Form提交（CSRF）

那麼在Django中CSRF驗證大體是一個什麼樣的原理呢？下面通過一個小例子來簡單說明一下：

我們把Django中CSRF中介軟體開啟（在settings.py中）

'django.middleware.csrf.CsrfViewMiddleware'

在app01的views.py中寫一個簡單的後臺

from django.shortcuts import render,redirect,HttpResponse

# Create your views here.
def login(request):
    if request.method == "GET":
        return render(request,'login.html')
    elif request.method == "POST":
        user = request.POST.get('user')
        pwd = request.POST.get('pwd')
        if user == 'root' and pwd == "123123":
            #生成隨機字串
            #寫到使用者瀏覽器cookie
            #儲存在服務端session中
            #在隨機字串對應的字典中設定相關內容
            request.session['username'] = user
            request.session['islogin'] = True
            if request.POST.get('rmb',None) == '1':
                #認為設定超時時間
                request.session.set_expiry(10)
            return redirect('/index/')
        else:
            return render(request,'login.html')

def index(request):
    #獲取當前隨機字串
    #根據隨機字串獲取對應的資訊
    if request.session.get('islogin', None):
        return render(request,'index.html',{'username':request.session['username']})
    else:
        return HttpResponse('please login ')

def logout(request):
    del request.session['username']
    request.session.clear()
    return redirect('/login/')

 在templates中寫一個簡單的登陸建立兩個檔案（login.html,index.html）登陸成功跳轉index.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <form action="/login/" method="post">
        <input type="text" name="user" />
        <input type="text" name="pwd" />
        <input type="checkbox" name="rmb" value="1" /> 10s免登入
        <input type="submit" value="提交" />
    </form>
</body>
</html>

這是瀏覽器中的樣式 ：

那麼如果這個時候，我們點選登陸提交，django會因為無法通過csrf驗證返回一個403：

 

       而csrf驗證其實是對http請求中一段隨機字串的驗證，那麼這段隨機字串從何而來呢？這個時候我們嘗試把login.html做一個修改新增一句 {% csrf_token %}：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <form action="/login/" method="post">
        {% csrf_token %}
        <input type="text" name="user" />
        <input type="text" name="pwd" />
        <input type="checkbox" name="rmb" value="1" /> 10s免登入
        <input type="submit" value="提交" />
    </form>
</body>
</html>

這個時候我們再通過瀏覽器元素審查，就會發現一段新的程式碼：

       Django在html中建立一個基於input框value值的隨機字串 ，這個時候我們再次輸入後臺設定的賬號密碼，進行提交，會發現提交成功，進入了我們的index.html介面當中：

      這就是csrf的基本原理，如果沒有這樣一段隨機字串做驗證，我們只要在另一個站點，寫一個表單，提交到這個地址下，是一樣可以傳送資料的，這樣就造成了極大的安全隱患。而我們新新增的csrf_token就是在我們自己的站點中，設定的隱藏引數，用來進行csrf驗證。

四、Ajax提交 （CSRF）

        上面是一個基於form表單提交的小例子，csrf中介軟體要驗證的隨機字串存放在了form表單當中，傳送到了後臺，那麼如果我們使用的是ajax非同步請求，是不是也要傳送這樣一個類似的字串呢？答案是肯定的，但這個字串又該來自哪裡？其實它來自cookie，在上面的那個小例子當中，我們開啟F12元素審查，會發現，在cookie中也存放這樣一個csrftoken:

        所以下面呢我們就再聊一下ajax請求中如何進行。

        首先我們引入兩個js檔案放在工程專案的static當中，這兩個檔案是jquery的庫檔案，方便我們進行請求操作：

        然後我們把之前的login.html做一個修改：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <form action="/login/" method="post">
        {% csrf_token %}
        <input type="text" name="user" />
        <input type="text" name="pwd" />
        <input type="checkbox" name="rmb" value="1" /> 10s免登入
        <input type="submit" value="提交" />
        <input id="btn" type="button" value="按鈕">
    </form>

    <script src="/static/jquery-1.12.4.js"></script>
    <script src="/static/jquery.cookie.js"></script>
    <script>
        $(function () {
            $('#btn').click(function () {
                $.ajax({
                    url:'/login/',
                    type:"POST",
                    data:{'username':'root','pwd':'123123'},
                    success:function (arg) {
                        
                    }
                })
            })
        })
    </script>
</body>
</html>

        這個時候我們開啟介面，點選按鈕，會發現http請求傳送403錯誤，很明顯我們直接傳送請求是不合適的，並沒有帶隨機字串過去：

        所以，我們應該先從cookie中獲取到這個隨機字串，這個隨機字串的名字，我們可以通過之前的驗證得出是“csrftoken”：

var csrftoken = $.cookie('csrftoken');

        這樣變數csrftoken取到的就是我們的隨機字串；但是如果後臺想要去接收這個隨機字串，也應該需要一個key，那這個key是什麼？我們可以通過查詢配置檔案，通過控制檯輸出的方式驗證這個key：

from django.conf import settings
print(settings.CSRF_HEADER_NAME)

        最後輸出的是：

HTTP_X_CSRFTOKEN

         但這裡需要注意的是，HTTP_X_CSRFTOKEN並不是請求頭中傳送給django真正拿到的欄位名，前端發過去真正的欄位名是：

X-CSRFtoken

        那為什麼從Django的控制檯輸出會得到HTTP_X_CSRFTOKEN呢？其實我們前端的請求頭X-CSRFtoken傳送到後臺之後，django會做一個名字處理，在原來的欄位名前家一個HTTP_,並且將原來的小寫字元變成大寫的，“-”會處理成下劃線“_”，所以會有這兩個欄位的不一樣。但本質上他們指向的都是同一個字串。知道這一點之後，那麼我們前端就可以真正地發起含有CSRF請求頭的資料請求了。

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <form action="/login/" method="post">
        {% csrf_token %}
        <input type="text" name="user" />
        <input type="text" name="pwd" />
        <input type="checkbox" name="rmb" value="1" /> 10s免登入
        <input type="submit" value="提交" />
        <input id="btn" type="button" value="按鈕">
    </form>

    <script src="/static/jquery-1.12.4.js"></script>
    <script src="/static/jquery.cookie.js"></script>
    <script>
        var csrftoken = $.cookie('csrftoken');
        $(function () {
            $('#btn').click(function () {
                $.ajax({
                    url:'/login/',
                    type:"POST",
                    data:{'username':'root','pwd':'123123'},
                    header:{'X-CSRFtoken':csrftoken},
                    success:function (arg) {
                        
                    }
                })
            })
        })
    </script>
</body>
</html>

       在頁面中點選按鈕之後，會發現請求成功！

       那麼這個時候有人會問，難道所有的ajax請求，都需要這樣獲取一次寫進去嗎，會不會很麻煩。針對這一點，jquery的ajax請求中為我們封裝了一個方法：ajaxSetup，它可以為我們所有的ajax請求做一個集體配置，所以我們可以進行如下改造，這樣不管你的ajax請求有多少，都可以很方便地進行csrf驗證了：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <form action="/login/" method="POST">
        {% csrf_token %}
        <input type="text" name="user" />
        <input type="text" name="pwd" />
        <input type="checkbox" name="rmb" value="1" /> 10s免登入
        <input type="submit" value="提交" />
        <input id="btn" type="button" value="按鈕">
    </form>

    <script src="/static/jquery-1.12.4.js"></script>
    <script src="/static/jquery.cookie.js"></script>
    <script>
        var csrftoken = $.cookie('csrftoken');
        
        function csrfSafeMethod(method) {
            // these HTTP methods do not require CSRF protection
            return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
        }
        $.ajaxSetup({
            beforeSend: function(xhr, settings) {
                if (!csrfSafeMethod(settings.type) && !this.crossDomain) {
                    xhr.setRequestHeader("X-CSRFToken", csrftoken);
                }
            }
        });

        $(function () {
            $('#btn').click(function () {
                $.ajax({
                    url:'/login/',
                    type:"POST",
                    data:{'username':'root','pwd':'123123'},
                    success:function (arg) {
                        
                    }
                })
            })
        });
    </script>
</body>
</html>

四、裝飾器配置

         在講完基本的csrf驗證操作之後，我們還有一個可說的地方。在平時的產品需求當中，並不一定所有的介面驗證都需要進行csrf驗證，而我們之前採用的是在settings.py中介軟體配置進行全域性配置，那麼如果遇到了不需要開啟csrf的時候該怎麼辦呢？

from django.views.decorators.csrf import csrf_exempt,csrf_protect

@csrf_protect
def index(request):
    .....

@csrf_exempt
def login(request):
    .....

       @csrf_protect 是 開啟csrf驗證的裝飾器，@csrf_exempt是關閉csrf驗證的裝飾器。

五、前後端分離專案手動將csrftoken寫入cookie的方法

1. 手動設定，在view 中新增（經常失效，建議採用2,3,4種方法，親測有效）

request.META["CSRF_COOKIE_USED"] = True

2. 手動呼叫 csrf 中的 get_token(request) 或 rotate_token(request) 方法。

from django.middleware.csrf import get_token ,rotate_token

def server(request):

    # get_token(request)       // 兩者選一
    # rotate_token(request)   // 此方法每次設定新的cookies

    return render(request, ‘server.html‘)

3. 在HTML模板中新增 {% csrf_token %}

4. 在需要設定cookie的檢視上加裝飾器 ensure_csrf_cookie（）

from django.views.decorators.csrf import ensure_csrf_cookie

@ensure_csrf_cookie
def server(request):

    return render(request,'server.html')

相關推薦

Django中CSRF原理及應用詳解

 Web開發中十分重要的一項內容就是Web安全，在我們進行服務端構建的時候，最常見的幾種Web攻擊無非是下面的這幾種：            1.注入（SQL注入）            2.跨站指令碼攻擊（XSS）            3.跨站請求偽造（CSRF）

Sqoop核心原理及應用詳解

Sqoop依賴與hadoop        資料的一方，儲存在hdfs        底層的資料傳輸實現map/reduce yarn 只有map任務 因為官網sqoop沒有had

【Spring】Spring MVC原理及配置詳解

進行 return sub sca scrip uil 線程安全 松耦合 必須 1.Spring MVC概述： Spring MVC是Spring提供的一個強大而靈活的web框架。借助於註解，Spring MVC提供了幾乎是POJO的開發模式，使得控制器的開發和測試更加簡

Django中的request對象詳解

當前 perm 請求 詳細 spa ati 用戶輸入 刪除 完整路徑 URLconf文件匹配到用戶輸入的路徑後，會調用對應的view函數，並將 HttpRequest對象 作為第一個參數傳入該函數。 下面說說HttpRequest對象： 他其實是一個實例對象，屬性有：

zabbix實現原理及架構詳解

收集 信息 核心 狀態 start 原理 整體架構 比較 zabbix 想要用好zabbix進行監控，那麽我們首要需要了解下zabbix這個軟件的實現原理及它的架構。建議多閱讀官方文檔。 一、總體上zabbix的整體架構如下圖所示： 重要組件說明： 1）zabbix se

高性能Mysql主從架構的復制原理及配置詳解

應用場景 難點 要點 一行 tar distrib 控制 成功 實時性 1 復制概述 Mysql內建的復制功能是構建大型，高性能應用程序的基礎。將Mysql的數據分布到多個系統上去，這種分布的機制，是通過將Mysql的某一臺主機的數據復制到其它主機（slaves

Spring MVC原理及配置詳解

對象 classpath oca entity attribute nco conf nal spring Spring MVC原理及配置 1.Spring MVC概述： Spring MVC是Spring提供的一個強大而靈活的web框架。借助於註解，Spring MVC提

nginx中location配置及匹配詳解

back amp 告訴 正則表達式 順序 win http 方法 ext nginx中location配置及匹配詳解1、location語法規則 Location 基礎知識1.location 是在 server 塊中配置。2.可以根據不同的 URI 使用不同的配置（loc

MySQL 分區表原理及使用詳解

當前 多好 系統 lob 我們 連續 range 數據分區 拆分 1.什麽是表分區： 表分區，是指根據一定規則，將數據庫中的一張表分解成多個更小的，容易管理的部分。從邏輯上看，只有一張表，但是底層卻是由多個物理分區組成。 2.表分區與分表的區別： 分表：指的是通過一定規則，

batchnorm原理及程式碼詳解（筆記2）

Batchnorm原理詳解 前言：Batchnorm是深度網路中經常用到的加速神經網路訓練，加速收斂速度及穩定性的演算法，可以說是目前深度網路必不可少的一部分。 本文旨在用通俗易懂的語言，對深度學習的常用演算法–batchnorm的原理及其程式碼實現做一個詳細的解讀。本文主要包括以下幾個

晶振工作原理及引數詳解

晶振工作原理及引數詳解（最透徹） 晶振是石英晶體諧振器（quartz crystal oscillator）的簡稱，也稱有源晶振，它能夠產生中央處理器（CPU）執行指令所必須的時鐘頻率訊號，CPU一切指令的執行都是建立在這個基礎上的，時鐘訊號頻率越高，通常CPU的執行速度也就越快。 只要是包

Aircrack-ng套件——無線破解原理及工具詳解

前言： 現行的無線協議標準在安全方面是完全達標的，是非常安全的。如果現行的無線標準在很被攻破了，業界為什麼還一直在使用這一標準。 因此，破解之所以能成功，完全是因為USR配置路由器不當和密碼強度低的漏洞罷了。 普通無線加密及破解的分類： 1，wep加密：此類加密比較老舊，

OpenCV中copyTo()函式及Mask詳解（附程式碼詳解）

copyTo函式有兩種重構方式： 第一種：A.copyTo(B)，表示將A矩陣複製到B中 第二種：A.copyTo(B, mask)，表示得到一個附加掩膜mask的矩陣B。 第一種方法就不多贅述，這裡主要詳細敘述第二種使用方法。  對於第二種mask引數的格

iOS APP啟動原理及檢視~詳解

原文地址::https://blog.csdn.net/shihuboke/article/details/73929485   相關文章 1、iOS APP啟動函式呼叫順序~詳解----https://blog.csdn.net/shihuboke/article/detai

tensorflow-deeplab-resnet 原理及程式碼詳解

前言： 程式碼的model.py，network.py是建立深度學習網路的部分，這部分程式碼風格與Faster-RCNN_TF那個程式的風格非常相似，也很簡單，不再多做介紹。這裡主要介紹train.py、image_reader.py其他還有inference

Node Js 基本工作原理及流程詳解

1，專案前期準備： 以express 框架為例 npm i express-generator -g //全域性安裝express框架 express -e //生成express應用骨架 npm i //安裝依賴 npm start //在3000埠監聽 拓展

FTS資料庫優化（Android）原理與應用詳解（1）

在Android的官方開發文件上，有建議在使用文字類的資料庫全文搜尋（full-text search）時，使用FTS優化查詢速度。有關FTS的介紹文章不多，本文調研整理一下有關知識，供在Android上使用FTS之前參考。 1.什麼是FTS？ FTS，即full te

python中的類及self詳解

在介紹Python的self用法之前，先來介紹下Python中的類和例項…… 我們知道，面向物件最重要的概念就是類（class）和例項（instance），類是抽象的模板，比如學生這個抽象的事物，可以用一個Student類來表示。而例項是根據類創建出來的一個個具體的“物件”

ptrace執行原理及使用詳解

你想過怎麼實現對系統呼叫的攔截嗎？你嘗試過通過改變系統呼叫的引數來愚弄你的系統kernel嗎？你想過偵錯程式是如何使執行中的程序暫停並且控制它嗎？ 你可能會開始考慮怎麼使用複雜的kernel程式設計來達到目的，那麼，你錯了。實際上Linux提供了一種優雅的機制來完成這些：p

MySQL傳統複製與GTID複製原理及操作詳解

mysql複製在業界裡有叫：mysql同步，ab複製等。專業名稱就是叫：複製 複製是單向的，只能從master複製到slave上，延時基本上是毫秒級別的。 一組複製結構中可以有多個slave，對於master一般場景推薦只有一個。 master使用者寫入資料，生成event記到binary log中 sla