Python djanjo之csrf防跨站攻击实验过程-偶像资源网

一.CSRF简介

二.CSRF(Web表单提交)

web表单下设置CSRF标签可以有效防止CSRF跨站攻击(如下图)

{% csrf_token %}

如果不设置该表单，那么在访问web页面时会禁止访问(如下图)

应对禁止访问，其实也有很多办法，其中一个办法就是将配置文件(settings.py)中的csrf的中间件儿拿掉，这样原来禁止访问的页面也可以成功访问，但这种做法风险是非常大的，出于安全考虑，不推荐这样做

另一种办法是在视图层加一个装饰器（@csrf_exempt），实现局部不检测，换句话说，就是即使不在web表单中添加csrf标签，只要加了装饰器，也能成功访问页面，需要注意的是仅限加了装饰器的内容，其他不加装饰器的代码还是禁止访问的状态

三.CSRF(Web表单提交)实验

接着我们就着上面说的内容用代码演示一遍：

首先，在app下的urls.py文件下配置一个子路由

from django.urls import path, re_path
from App import views

urlpatterns = [
    # csrf测试
    path(\'register/\',views.register,name = \'register\'),
]

接着，编写视图函数

def register(request):
    if request.method == \"POST\": # 如果该请求为POST请求
        username = request.POST.get(\'username\') # 获取表单中的username
        password = request.POST.get(\'password\') # 获取表单中的password
        print(username,password) # 打印username，password
    return render(request,\'register.html\') # 渲染模版，返回给web register.html中的内容

web表单(未设置csrf标签)

<!DOCTYPE html>
<html lang=\"en\">
<head>
    <meta charset=\"UTF-8\">
    <title>注册</title>
</head>
<body>
<form ation=\"\" method=\"post\">
    用户名：<input type=\"text\" name=\"username\"><br>
    密码：<input type=\"text\" name=\"password\"><br>
    <input type=\"submit\">
</form>
</body>
</html>

此时开启服务(python manage.py runserver 8090)后，访问web页面，会显示禁止访问的字样

那么接下来我们在web表单中设置csrf标签

{% csrf_token %}

<!DOCTYPE html>
<html lang=\"en\">
<head>
    <meta charset=\"UTF-8\">
    <title>注册</title>
</head>
<body>
<form ation=\"\" method=\"post\">
    {# 防止跨站攻击 #}
    {% csrf_token %}
    用户名：<input type=\"text\" name=\"username\"><br>
    密码：<input type=\"text\" name=\"password\"><br>
    <input type=\"submit\">
</form>
</body>
</html>

再来访问web页面，发现用户名，密码可以正常提交，且表单中会多一个csrf隐式伪随机数

CSRF攻击是源于WEB的隐式身份验证机制！WEB的身份验证机制虽然可以保证一个请求是来自于某个用户的浏览器，但却无法保证该请求是用户批准发送的！

CSRF防御机制思路是在客户端页面增加伪随机数即可实现比较有效的跨站攻击防御

四.CSRF(ajax提交)

ajax提交，需要在html中添加以下内容

🌈1 引用jquery

🌈2 添加防止跨站攻击标签

🌈3 添加ajax提交用button

🌈4 添加ajax

<!DOCTYPE html>
<html lang=\"en\">
<head>
    <meta charset=\"UTF-8\">
    <title>注册</title>
    {# 🌈1 引用jquery #}
    <script src=\"https://cdn.bootcdn.net/ajax/libs/jquery/1.12.4/jquery.min.js\"></script>
</head>
<body>
<form ation=\"\" method=\"post\">
    {# 🌈2 防止跨站攻击 #}
    {% csrf_token %}
    用户名：<input type=\"text\" name=\"username\"><br>
    密码：<input type=\"text\" name=\"password\"><br>
<!--    {# 表单提交 #}-->
<!--    <input type=\"submit\">-->

<!--    {# 🌈3 ajax提交 #}-->
    <input type=\"button\" value=\"注册\" id=\"button\">
</form>
</body>
</html>
<script>
	{# 🌈4 ajax #}
    $(\"#button\").click(function(){
        username = $(\"[name=\'username\']\").val();
        password = $(\"[name=\'password\']\").val();
        csrf = $(\"[type=\'hidden\']\").val();
        console.log(username,password,csrf);
        {# $.post(\"/register/\") #}
    });

</script>

此处关于ajax传参的方式只介绍了一种，如果还想了解的更深，请移步django之ajax传参的两种格式

访问web页面后，输入用户名，密码，查看审查元素，控制台会显示输入的用户名，密码，以及隐式伪随机数

在html中继续添加以下内容

🌈5 post提交

<!DOCTYPE html>
<html lang=\"en\">
<head>
    <meta charset=\"UTF-8\">
    <title>注册</title>
    {# 🌈1 引用jquery #}
    <script src=\"https://cdn.bootcdn.net/ajax/libs/jquery/1.12.4/jquery.min.js\"></script>
</head>
<body>
<form ation=\"\" method=\"post\">
    {# 🌈2 防止跨站攻击 #}
    {% csrf_token %}
    用户名：<input type=\"text\" name=\"username\"><br>
    密码：<input type=\"text\" name=\"password\"><br>
<!--    {# 表单提交 #}-->
<!--    <input type=\"submit\">-->

<!--    {# 🌈3 ajax提交 #}-->
    <input type=\"button\" value=\"注册\" id=\"button\">
</form>
</body>
</html>
<script>
	{# 🌈4 ajax #}
    $(\"#button\").click(function(){
        username = $(\"[name=\'username\']\").val();
        password = $(\"[name=\'password\']\").val();
        csrf = $(\"[type=\'hidden\']\").val();
        console.log(username,password,csrf);

        {# 🌈5 post提交 #}
        {# $.post(\"地址\",{参数},function(返回值){}) #}
        $.post(\"/user/register/\",{\'username\':username,\'password\':password,\'csrfmiddlewaretoken\':csrf},function(data){
            console.log(data)
        })

    });

</script>

视图层添加以下代码

🌟返回ajax请求

# 局部禁止
# @csrf_exempt
def register(request):
    if request.method == \"POST\":
        username = request.POST.get(\'username\')
        password = request.POST.get(\'password\')
        print(username,password)

        # 🌟返回ajax请求
        return JsonResponse({\'code\':1})
        # {\'code\':1}为自定义值

    return render(request,\'register.html\')

最后访问web页面，ajax请求成功，且成功返回返回值{‘code\’:1}

总结

版权声明 1 本网站名称：偶像资源网
2 本站永久网址：https://www.ox520.com
3 本网站的文章部分内容可能来源于网络，仅供大家学习与参考，如有侵权，请联系站长 QQ593098775进行删除处理。
4 本站一切资源不代表本站立场，并不代表本站赞同其观点和对其真实性负责。
5 本站一律禁止以任何方式发布或转载任何违法的相关信息，访客发现请向站长举报
6 本站资源大多存储在云盘，如发现链接失效，请联系我们我们会第一时间更新。

THE END