跳到主要内容

Django 跨站请求伪造保护

介绍​

跨站请求伪造（CSRF）是一种常见的Web安全漏洞，攻击者通过伪造用户的请求来执行未经授权的操作。Django内置了强大的CSRF保护机制，帮助开发者轻松防范此类攻击。本文将详细介绍Django的CSRF保护机制，并通过代码示例和实际案例帮助你理解其工作原理。

什么是跨站请求伪造（CSRF）？​

跨站请求伪造（CSRF）是一种攻击方式，攻击者诱使用户在不知情的情况下提交恶意请求。例如，攻击者可以通过伪造表单或链接，让用户在登录状态下执行某些操作（如转账、修改密码等）。由于这些请求是从用户的浏览器发出的，服务器会认为它们是合法的。

Django通过生成和验证CSRF令牌来防止此类攻击。每个表单提交时，Django会检查请求中是否包含有效的CSRF令牌。如果没有，请求将被拒绝。

Django 中的CSRF保护机制​

1. 启用CSRF中间件​

Django默认启用了CSRF保护。如果你查看项目的settings.py文件，会发现django.middleware.csrf.CsrfViewMiddleware已经包含在MIDDLEWARE列表中：

MIDDLEWARE = [
    # 其他中间件
    'django.middleware.csrf.CsrfViewMiddleware',
    # 其他中间件
]
备注

如果你手动禁用了CSRF中间件，建议重新启用它以确保应用的安全性。

2. 在表单中使用CSRF令牌​

在Django模板中，使用{% csrf_token %}标签为表单添加CSRF令牌。例如：

<form method="post">
  {% csrf_token %}
  <input type="text" name="username" />
  <input type="password" name="password" />
  <button type="submit">提交</button>
</form>

当表单提交时，Django会自动验证CSRF令牌的有效性。

3. 在AJAX请求中使用CSRF令牌​

如果你使用AJAX发送POST请求，需要手动将CSRF令牌添加到请求头中。Django提供了一个JavaScript函数getCookie来获取CSRF令牌：

function getCookie(name) {
  let cookieValue = null;
  if (document.cookie && document.cookie !== '') {
    const cookies = document.cookie.split(';');
    for (let i = 0; i < cookies.length; i++) {
      const cookie = cookies[i].trim();
      if (cookie.substring(0, name.length + 1) === (name + '=')) {
        cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
        break;
      }
    }
  }
  return cookieValue;
}

const csrftoken = getCookie('csrftoken');

然后，将CSRF令牌添加到请求头中：

fetch('/your-endpoint/', {
  method: 'POST',
  headers: {
    'X-CSRFToken': csrftoken,
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({ key: 'value' }),
});
提示

确保在AJAX请求中正确设置X-CSRFToken头，否则请求会被Django拒绝。

实际案例​

假设你正在开发一个博客应用，用户可以通过表单发布新文章。如果没有CSRF保护，攻击者可以伪造一个表单，诱使用户提交恶意内容。通过启用Django的CSRF保护，你可以确保只有合法的请求才能发布文章。

示例代码​

<!-- 发布文章的表单 -->
<form method="post" action="/post-article/">
  {% csrf_token %}
  <textarea name="content"></textarea>
  <button type="submit">发布</button>
</form>

当用户提交表单时，Django会验证CSRF令牌。如果令牌无效，请求将被拒绝。

总结​

Django的CSRF保护机制是确保Web应用安全的重要工具。通过生成和验证CSRF令牌，Django可以有效防止跨站请求伪造攻击。无论是传统的表单提交还是AJAX请求，你都应该确保正确使用CSRF令牌。

附加资源​

练习​

  1. 在你的Django项目中创建一个表单，并添加CSRF保护。
  2. 尝试使用AJAX发送POST请求，确保正确设置CSRF令牌。
  3. 禁用CSRF中间件，观察表单提交时的行为变化。

通过实践，你将更深入地理解Django的CSRF保护机制及其重要性。