解决Csrf跨站请求伪造

Csrf跨站请求伪造原理：

  1. 用户C打开浏览器，访问受信任网站A，输入用户名和密码请求登录网站A；

   2.在用户信息通过验证后，网站A产生Cookie信息并返回给浏览器，此时用户登录网站A成功，可以正常发送请求到网站A；

   3. 用户未退出网站A之前，在同一浏览器中，打开一个TAB页访问网站B；

   4. 网站B接收到用户请求后，返回一些攻击性代码，并发出一个请求要求访问第三方站点A；


   5. 浏览器在接收到这些攻击性代码后，根据网站B的请求，在用户不知情的情况下携带Cookie信息，向网站A发出请求。网站A并不知道该请求其实是由B发起的，所以会根据用户C的Cookie信息以C的权限处理该请求，导致来自网站B的恶意代码被执行。

解决Csrf跨站请求伪造：
1.在form表单中添加一个自带的字段{{form.csrf_token}}

需要csrf保护
解决：
设置app.secret_key
app.secret_key = 'rfagsrg'


在响应的html模板的Form表单中加上:
{{form.csrf_token}}

或者：

{{form.hidden_tag()}}

2Cookie Hashing(所有表单都包含同一个伪随机值)

　在表单里增加Hash值，以认证这确实是用户发送的请求。
　然后在服务器端进行Hash值验证

3.验证 HTTP Referer 字段