Python web实战 | 细说 Django 的跨站点请求伪造（CSRF）保护

关键词：Python、Web、Django、跨站请求伪造、CSRF

大家好，今天我将分享web关于安全的话题：Django 的跨站点请求伪造（CSRF）保护，介绍 CSRF 的概念、原理和保护方法.

1. CSRF 是什么？

CSRF，全称为 Cross-Site Request Forgery，中文翻译为跨站点请求伪造。

简单来说，它是一种恶意攻击方式，黑客利用用户在另一个网站上的登录状态，冒充用户发送请求，进行非法操作。

举个例子，你在浏览一个论坛的时候，不小心点击了一个帖子，结果你的账号信息被窃取，银行卡被盗刷了！

2. CSRF 的原理

那么，CSRF 攻击是怎么实现的呢？假设你正在购物网站上浏览商品，当你点击某个商品的时候，网站会发送一个请求给服务器，告诉服务器你想要购买这个商品。

而黑客正是利用这个机制，通过构造恶意页面，在你不知情的情况下发送请求。服务器收到请求后并不知道这是一个欺骗性的请求，于是执行了对应的操作，可能是删除商品、修改密码等等，这就是 CSRF 攻击的原理。

3. Django 的 CSRF 保护机制

Django 是如何保护我们的网站免受 CSRF 攻击的？

3.1 CSRF Token

Django 的 CSRF 保护机制主要依赖于 CSRF Token。

这个 Token 是一个随机生成的字符串，每次请求页面时都会将它嵌入到表单中或者设置到 Cookie 中。当用户提交表单时，Django 会检查请求中的 Token 是否与 Cookie 中的 Token 一致，如果不一致，则拒绝这个请求，从而有效地防止了 CSRF 攻击。

当然，如果攻击者能够获取到用户的Cookie，就可以利用这些Cookie来伪造用户的身份，从而绕过CSRF保护机制。

为了防范这种情况，有几个常用的方法可以采取：

1. 使用HttpOnly标记：将Cookie标记为HttpOnl