Django 是怎么防御CSRF攻击的

Django 防御 CSRF（跨站请求伪造）攻击的机制主要通过以下几个步骤实现：

一、CSRF 攻击原理

CSRF 攻击是一种网络攻击方式，攻击者利用用户在已登录网站上的认证信息，通过构造一个伪造的请求发送到该网站，以用户的身份执行非法操作。这种攻击的关键在于用户不知情且浏览器会自动携带认证信息（如 Cookie）发送请求。

二、Django 的 CSRF 防御机制

1. CSRF 令牌生成与验证

   • 当用户访问一个包含表单的页面时，Django 会生成一个随机的 CSRF 令牌，并将其存储在用户会话（session）或 Cookie 中。
   • 这个令牌会被自动添加到所有表单的隐藏字段中，或者通过其他方式（如 AJAX 请求头）传递给服务器。
   • 当用户提交表单时，Django 会验证表单中的 CSRF 令牌是否与用户会话或 Cookie 中存储的令牌匹配。如果不匹配，Django 会拒绝请求并返回 403 Forbidden 错误。

2. 中间件处理

   • Django 通过 django.middleware.csrf.CsrfViewMiddleware 中间件自动处理和验证 CSRF 令牌。这个中间件会检查每个 POST、PUT、PATCH、DELETE 请求是否包含有效的 CSRF 令牌。

3. 模板标签

   • 在 Django 的模板中，可以使用 {% csrf_token %} 模板标签来生成包含 CSRF 令牌的隐藏字段。这个标签会自动渲染一个隐藏的 input 控件，其 name 属性为 csrfmiddlewaretoken，value 属性为当前会话的 CSRF 令牌。

4. AJAX 请求处理

   • 对于 AJAX 请求，可以通过两种方式传递 CSRF 令牌：

     • 将令牌作为请求的一个参数传递，例如：$.ajax({url: '/example/', type: 'POST', data: {csrfmiddlewaretoken: csrftoken, data: 'value'}, ...})
     • 将令牌添加到请求头中，例如：$.ajax({url: '/example/', type: 'POST', headers: {'X-CSRFToken': csrftoken}, data: {data: 'value'}, ...})

5. CSRF 令牌存储位置

   • CSRF 令牌默认存储在用户会话中（如果 CSRF_USE_SESSIONS 设置为 True）。如果会话不可用（例如，在 AJAX 请求中），令牌也可以存储在 Cookie 中。

6. 配置与禁用

   • 在 Django 的 settings.py 文件中，可以通过设置 CSRF_COOKIE_SECURE 和 CSRF_USE_SESSIONS 等选项来控制 CSRF 令牌的行为。
   • 如果需要禁用 CSRF 保护（通常不推荐），可以在特定的视图上使用 @csrf_exempt 装饰器，或者全局禁用 CsrfViewMiddleware 中间件。

三、结论

Django 通过生成和验证 CSRF 令牌、使用中间件自动处理请求、提供模板标签和 AJAX 请求处理方式，以及灵活的配置选项，有效地防御了 CSRF 攻击。这些机制确保了 Django 应用程序的安全性，并保护了用户数据免受恶意操作的影响。