博客

详解Django的 csrf_protect() 函数：装饰器，保护跨站请求伪造攻击

  • Post category:Python

Django框架是一个MVC架构的Web框架，是一个非常流行的Python Web框架。在Web开发中，Cross-Site Request Forgery（CSRF）是一种常见的安全威胁，它利用用户的身份验证信息来构建不被授权的请求。为了抵御此种攻击，Django提供了一个名为csrf_protect()的装饰器函数。本次攻略将详细讲解csrf_protect()的作用和使用方法，并给出至少两个实例说明。

1. 作用

csrf_protect()函数的作用是防止CSRF攻击，即站点跨站脚本。它可以在请求和响应中插入CSRF令牌，确保POST请求的数据来自站点本身，而不是从其他站点发送的（防止假冒伪劣站点）。

2. 使用方法

2.1 装饰视图函数

csrf_protect()通常会作为装饰器使用，装饰在视图函数上。具体使用方法如下：

from django.views.decorators.csrf import csrf_protect

@csrf_protect
def my_view(request):
    # 视图函数处理逻辑

这里的@csrf_protect表示要对my_view()视图函数进行保护，如果接收到的请求中没有正确的CSRF令牌，Django将返回状态码为403的“禁止访问”响应。

2.2 插入CSRF令牌

这个函数还可以作为一个中间件来使用。如果使用中间件，Django框架将自动在所有需要保护的表单中添加CSRF令牌。

使用中间件方式如下：

1）在中间件类声明中添加“django.middleware.csrf.CsrfViewMiddleware”：

MIDDLEWARE = [
    # 其他中间件
    'django.middleware.csrf.CsrfViewMiddleware',
]

2）在需要使用CSRF令牌的表单中添加{{ csrf_token }}模板标签：

<form method="POST">
    {% csrf_token %}
    <!-- 表单内容 -->
</form>

这将在对应的表单中插入一个隐藏域，里面包含csrf_token。

3. 实例说明

3.1 保护POST请求

假设开发一个用户评论功能的网站，防止其被CSRF攻击，可以如下实现：

# views.py
from django.views.decorators.csrf import csrf_protect

@csrf_protect
def comment(request):
    if request.method == 'POST':
        # 只处理POST请求
        # ...
        return HttpResponse('评论成功')
    else:
        return render(request, 'comment.html')

# comment.html
<form method="POST" action="{% url 'comment' %}">
    {% csrf_token %}
    <textarea name="content"></textarea>
    <button type="submit">提交</button>
</form>

3.2 禁用跨站脚本攻击

假设开发了一个有漏洞的网站应用程序，并且维护者已经离职，此时你需要更新应用程序以防止跨站脚本攻击：

# settings.py
MIDDLEWARE = [
    # ...
    'django.middleware.csrf.CsrfViewMiddleware',
]

<!-- template.html -->
{% extends "base.html" %}
{% block content %}
    <h1>{{ news.title }}</h1>
    <!-- 修复 XSS 漏洞 -->
    <p>{{ news.content|safe }}</p>
{% endblock %}

在template.html中使用safe过滤器禁用跨站脚本攻击。这一过滤器将不安全的内容标记为安全，并告诉Django不要转义它。

Tags: