【Django网络安全】如何正确防护CSRF跨站点请求伪造_drf csrf

CSRF（Cross-site request forgery），中文名跨站点请求伪造。当恶意网站包含一个链接、一个表单按钮或一些javascript，使用登录用户在浏览器中的凭据，打算恶意访问您的网站并执行某些操作时，就会发生这种攻击。还包括一种相关的攻击类型“登录CSRF”，即攻击站点诱使用户的浏览器使用他人的凭据登录站点。
XSS和CSRF正好相反，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。直接的说就是我们需要保护POST、PUT和DELETE请求。
向网友借个图

---

一、CSRF攻击场景

对于用户的的所有操作，除了get查询，其他请求都需要保护，包括POST、PUT和DELETE。

发送邮件
修改账户信息
资金转账
盗取用户隐私数据
网站被上传网马
作为其他攻击方式的辅助攻击（比如xss）
传播CSRF蠕虫（见下文中的YouTube CSRF漏洞）
等等

二、CSRF攻击的防御手段

1.验证 HTTP Referer 字段

这种方式理论上可行，实际情况是Referer可以被伪造。

2.请求地址添加token并验证

django的验证方式是csrftoken验证。实现的主要是长cookie中csrftoken和表单中的csrfmiddlewaretoken是否为同一加密编码来源来实现csrf防御。csrftoken和csrfmiddlewaretoken这两个参数在接下来是我们关注的重点。

三、Django的CSRF防御解析

django的csrf防御是通过中间价来执行，默认是开启状态。位置是django项目的settings文件。

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',  # csrf防御
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    'utils.middlewar