本文深入探讨了CSRF（跨站请求伪造）防护中的csrf_token生成与验证过程。csrf_token由32位的mask和cipher组成，其中mask随机生成，cipher基于随机生成的csrf_secret。在每次请求中，cookie中的csrftoken与表单中的csrftoken通过相同的csrf_secret解密对比，一致则验证通过。这种机制有效防止了非法请求，确保了Web应用的安全。
原理
csrf_token生成
csrf_token：mask + cipher
mask：32位字母数字组合，随机生成。
cipher：32位字母数字组合，由csrf_secret生成。
通过随机生成一个32位的字母数字组合作为csrf_secret，然后通过随机的mask加上cipher（处理后的csrf_secret）生成cookie中的csrftoken和表单中的csrftoken。cookie中的csrf会长时间保留（有效期1年），每次表单中的的csrftoken都是根据它生成。
从上图可以看到首次访问时生成的cookie中的csrf_token的值和有效期。
csrf_token验证
由于cookie中的csrftoken和表单中的csrftoken由相同的csrf_secret生成，所以解密后如果两者的csrf_secret相同，则说明是正常的请求，通过验证。
加密
cipher_index = mask_index + secret_index
解密
secret_index = cipher_index - mask_index
更多处理细节请参考：django/middleware/csrf.py
2416
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
