Django框架学习笔记（22.CSRF原理简单介绍）

最新推荐文章于 2024-04-12 08:45:12 发布

__XYQ

最新推荐文章于 2024-04-12 08:45:12 发布

阅读量360

点赞数

分类专栏： Django框架文章标签： django 前端

本文链接：https://blog.csdn.net/qq_41144008/article/details/78867426

版权

Django框架专栏收录该内容

29 篇文章 1 订阅

订阅专栏

前面我们写Django的时候，都要在settings.py里把CSRF注释掉，这里其实是Django提供的一层防护，防止提交的数据含有XSS攻击，只有请求里面含有CSRF令牌（随机字符串）才可以通过，否则会被禁止。这里不注释掉也可以写：

<form action="/login/" method="POST">
    {% csrf_token %}
    <input type="text" name="user"/>
    <input type="password" name="pwd"/>
    <input type="checkbox" name="rmb" value="1"/>一天内免登录
    <input type="submit" value="登录"/>
</form>

ajax方式（提前配置ajax）：

<body>
<form action="/login/" method="POST">
    {% csrf_token %}
    <input type="text" name="user"/>
    <input type="password" name="pwd"/>
    <input type="checkbox" name="rmb" value="1"/>一天内免登录
    <input type="submit" value="登录"/>
    <input id="btn1" type="button" value="按钮"/>
    <input id="btn2" type="button" value="按钮"/>
</form>
<script src="/static/jquery-1.12.4.js"></script>
<script src="/static/jquery.cookie.js"></script>
<script>
    $(function(){
        $.ajaxSetup({
            beforeSend:function(xhr,settings){
                xhr.setRequestHeader('X-CSRFtoken',$.cookie('csrftoken'))
            }
        });
        $('#btn1').click(function () {
            $.ajax({
                url: '/login/',
                type: 'POST',
                data: {'user': 'root', 'pwd': '123'},
                success:function(arg){
                }
            })
        });
        $('#btn2').click(function () {
            $.ajax({
                url: '/login/',
                type: 'POST',
                data: {'user': 'root', 'pwd': '123'},
                success:function(arg){
                }
            })
        })
    })
</script>
</body>

views.py里面也可以设置是否使用CSRF：

当全局设置了CSRF时候，这样可以取消：

from django.views.decorators.csrf import csrf_exempt, csrf_protect
@csrf_exempt
def index(request):
    if request.session.get('is_login', None):
        return render(request, 'index.html', {'username': request.session['username']})
    else:
        return HttpResponse('错误')

当全局没有设置CSRF时候，这样可以添加：

from django.views.decorators.csrf import csrf_exempt, csrf_protect
@csrf_protect
def index(request):
    if request.session.get('is_login', None):
        return render(request, 'index.html', {'username': request.session['username']})
    else:
        return HttpResponse('错误')

__XYQ

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
Django框架学习笔记（22.CSRF原理简单介绍）

前面我们写Django的时候，都要在settings.py里把CSRF注释掉，这里其实是Django提供的一层防护，防止提交的数据含有XSS攻击，只有请求里面含有CSRF令牌（随机字符串）才可以通过，否则会被禁止。这里不注释掉也可以写：action="/login/" method="POST"> {% csrf_token %} type="text" name="use
复制链接

扫一扫

专栏目录