Flask--CSRFToken保护(前后端分离和不分离的操作)、CORS跨域请求
前文:
查看官方文档: http://www.pythondoc.com/flask-wtf/csrf.html#id4
什么是csrf
为什么需要 CSRF?
Flask-WTF 表单保护你免受 CSRF 威胁,你不需要有任何担心。尽管如此,如果你有不包含表单的视图,那么它们仍需要保护。
例如,由 AJAX 发送的 POST 请求,然而它背后并没有表单。在 Flask-WTF 0.9.0 以前的版本你无法获得 CSRF 令牌。这是为什么我们要实现 CSRF。
csrf具体过程
根据 csrf_token 校验原理,具体操作步骤有以下几步:
- 1.后端生成 csrf_token 的值,在前端请求登录或者注册界面的时候将值传给前端,传给前端的方式可能有以下两种:
- 在模板中的 From 表单中添加隐藏字段
- 将 csrf_token 使用 cookie 的方式传给前端
- 2.在前端发起请求时,在表单或者在请求头中带上指定的 csrf_token
- 3.后端在接受到请求之后,取到前端发送过来的 csrf_token,与第1步生成的 csrf_token 的值进行校验
- 4.如果校验对 csrf_token 一致,则代表是正常的请求,否则可能是伪造请求,不予通过
csrf保护实现
后端写保护
为了能够让所有的视图函数受到 CSRF 保护,你需要开启 CsrfProtect 模块:
from flask_wtf.csrf import CsrfProtect
CsrfProtect(app)
像任何其它的 Flask 扩展一样,你可以惰性加载它:
from flask_wtf.csrf import CsrfProtect
csrf = CsrfProtect()
def create_app():
app = Flask(__name__)
csrf.init_app(app)
Note
你需要为 CSRF 保护设置一个秘钥。通常下,同 Flask 应用的 SECRET_KEY 是一样的。
如果是前后端不分离项目
表单提交添加保护
如果模板中存在表单,你不需要做任何事情。与之前一样:
<form method="post" action="/">
{
{ form.csrf_token }}
</form>
但是如果模板中没有表单,你仍然需要一个 CSRF 令牌:
<form method