django CSRF

什么是CSRF

问题是解决了，但我不禁回想为什么在Django里提交POST表单要配置那么麻烦（其实也不麻烦，但对新手来说就不一样了），于是搜索关键字看看，得知它是一种跨站请求伪造，黑客可以利用这个攻击站点。而Django里的使用这个机制就是防止CSRF模式攻击，原理大致是当你打开页面的时候产生一个csrftokey种下cookie，然后当你提交表单时会把本地cookie里的csrftokey值给提交服务器，服务器判断只有有效的csrftokey值才处理请求。

既然这样，我就查看了一下cookie信息，发现果真种了一个csrftokey值

右键HTML页面查看源代码，发现{% csrf_token %}位置替换成了一个input隐藏值

input隐藏标签值与cookie里的csrftoken值一致。

于是我做了一个测试，在from表单里把{% csrftoken %}标签直接替换成如上图的input标签，name与value保持一致，提交留言的时候服务器正常处理，测试成功。

不使用CSRF验证

Django提供了POST表单使用CSRF验证功能，感觉还是挺不错的。但在Django里能不能像普通的Form表单一样不使用CSRF验证功能呢？答案是肯定可以的。

1、我在settings.py的MIDDLEWARE_CLASSES把'django.middleware.csrf.CsrfViewMiddleware'注释

2、移出FROM表单里的{% csrf_token %}标记

3、不导入RequestContext模块，并把render_to_response()里的context_instance=RequestContext(request)去掉

重新运行网页测试提交留言正常。至此，应该可以判断出上边1步骤里的'django.middleware.csrf.CsrfViewMiddleware'语句开启了CSRF验证功能，默认是开启的，注释以后就关闭CSRF验证POST表单提交功能了。