CSRF 令牌的生成过程和检查过程

最新推荐文章于 2024-09-23 16:11:03 发布

少陽君

最新推荐文章于 2024-09-23 16:11:03 发布

阅读量1.5k

点赞数 16

分类专栏： # django 文章标签： csrf okhttp 前端

本文链接：https://blog.csdn.net/u010674101/article/details/139438382

版权

这篇博客详细介绍了Django中的CSRF保护机制，包括CSRF令牌的生成和检查过程。当用户访问页面时，Django会生成一个随机的CSRF令牌并存储在会话中，然后通过模板标签自动嵌入到需要保护的表单中。在用户提交表单时，中间件会检查请求中的令牌是否与存储的会话令牌匹配，以防止跨站请求伪造攻击。同时，博客提供了生成和检查CSRF令牌的代码示例。

摘要由CSDN通过智能技术生成

在 Django 中，CSRF 令牌的生成和检查过程是通过 Django 的 CSRF 中间件 (CsrfViewMiddleware) 和模板标签 ({% csrf_token %}) 自动处理的。以下是详细的生成和检查过程：

CSRF 令牌的生成过程

用户访问页面：
- 当用户第一次访问页面时，Django 会为用户创建一个会话。如果用户还没有会话，Django 会创建一个新的会话 ID。
生成 CSRF 令牌：
- Django 生成一个随机的 CSRF 令牌，并将其与用户的会话相关联。这个令牌是一个随机的字符串，具有足够的长度和复杂性，以防止猜测攻击。
- 令牌通常存储在用户的会话中，可以通过 request.session 访问。
嵌入 CSRF 令牌：
- 在每个需要保护的表单中，Django 通过模板标签 {% csrf_token %} 自动嵌入 CSRF 令牌。这个标签会生成一个隐藏的输入字段，包含当前会话的 CSRF 令牌。
- 示例：
```
<form method="post" action="/submit/">
    {% csrf_token %}
    
    <input type="submit" value="Submit">
</form>
```

CSRF 令牌的检查过程

用户提交表单：
- 当用户提交表单时，CSRF 令牌会作为隐藏字段包含在请求中。
- 对于 AJAX 请求，令牌通常包含在请求头中。
CSRF 中间件检查请求：
- CsrfViewMiddleware 会拦截所有进入的 POST、PUT、PATCH 和 DELETE 请求，并检查 CSRF 令牌。