博客

详解Django的 csrf_exempt() 函数：装饰器，允许跨站请求伪造攻击

  • Post category:Python

Django中的CSRF（Cross-Site Request Forgery）是一种网络安全攻击，攻击者利用用户在登录状态下发起的请求来执行某些不良操作。为了避免此类攻击，Django中提供了csrf_exempt()函数。

csrf_exempt()函数是Django中的一个装饰器（Decorator），用于指定视图函数忽略跨站请求伪造保护。具体来说，当我们使用csrf_exempt()函数修饰一个视图函数时，该函数将忽略Django内置的CSRF保护机制。

使用方法：

  1. 导入csrf_exempt()函数
from django.views.decorators.csrf import csrf_exempt
  1. 修饰需要忽略CSRF保护的视图函数
@csrf_exempt
def my_view(request):
    # 视图函数的代码

其中，my_view为需要忽略CSRF保护机制的视图函数。

注意：使用csrf_exempt()函数需谨慎，只有在明确知道风险并且有充分原因的情况下才应该使用。

下面提供两个使用实例：

  • 实例1：使用csrf_exempt()函数忽略CSRF保护机制，并通过POST方法接收前端传来的数据。

views.py:

from django.views.decorators.csrf import csrf_exempt
from django.http import HttpResponse

@csrf_exempt
def my_view(request):
    if request.method == 'POST':
        data = request.POST.get('data')
        return HttpResponse(data)
    else:
        return HttpResponse('Hello, world!')

templates/index.html:

<form action="#" method="POST">
    {% csrf_token %} <!-- 常规情况下需要{% csrf_token %}标签来进行CSRF保护 -->
    <input type="text" name="data">
    <button type="submit">Submit</button>
</form>

在上述代码中，我们使用了csrf_exempt()函数来忽略CSRF保护机制，从而能够接收到前端传来的data参数，并返回该参数。

  • 实例2：使用csrf_exempt()函数忽略特定的视图函数中的CSRF保护机制。

views.py:

from django.views.decorators.csrf import csrf_protect, csrf_exempt
from django.utils.decorators import method_decorator
from django.http import HttpResponse
from django.views import View

class MyView(View):
    @method_decorator(csrf_exempt) # 在方法上使用csrf_exempt()函数
    def post(self, request):
        data = request.POST.get('data')
        return HttpResponse(data)

    @method_decorator(csrf_protect) # 在方法上使用csrf_protect()函数
    def get(self, request):
        return HttpResponse('Hello, world!')

在上述代码中，我们将csrf_exempt()函数和csrf_protect()函数分别使用在MyView类中的get和post方法上，从而能够对不同的请求进行不同的CSRF保护设置。

Tags: