Django Template 7.模板继承，CSRF跨域攻击

本节课模板继承，比较实用，在thinkphp里也学过

模板继承

继承基础页面

网页先写基础模板，左侧和上侧都是固定的，其他页面只要继承即可
即在Templates文件夹里新建base.html
先留着坑

<div>
    头部
</div>
<div>
    主体内容
</div>
<div>
    底部
</div>

 path('index9/', views.Index9View.as_view()),
 class Index9View(View):
    def get(self, request):
        return render(request,'index8.html')

网页里直接继承即可

 {% extends 'base.html' %}

引入一段代码

再建一个header.html页面，不要用基本框架，只包含这些标题

<a href="#">新闻</a>&emsp;<a href="#">贴吧</a>&emsp;<a href="#">图片</a>&emsp;

在base里引入该页面，替换掉头部二字

{% include 'header.html' %}

挖洞和填坑：主体内容

{% block main %}
这是主体内容，由你们决定
{% endblock main %}

在子页面里写一个块，主要写这里的东西

CSRF跨域攻击

CSRF的意思是跨站请求伪造
Cross Site Request Forgery

黑客在网页对数据库的增删改是post请求，因此django采取CSRF默认禁止post
在setting里默认开启
‘django.middleware.csrf.CsrfViewMiddleware’,

csrf_token实现post安全请求

不推荐禁用掉django中的CSRF
在网页里form表单中添加csrf_token，可解决
{% csrf_token %}

原理是在提交表单里增加了隐藏的值csrf_token，每次都是随机的，提交时会比对用户提交的信息，是不是跟自己保存在cookie里的一致，来判断合法性

而黑客攻击的时候，并无法获取该值，校验失败

局部CSRF策略

全局关闭，局部开启

先把全局中间件关了
在要启用的类或方法前加装饰器@csrf_protect
老师尝试class失败，因为不是一个渲染对象
两次访问的不是一个view方法
改成def类就行

全局开启，局部关闭

在要关闭的类或方法前加装饰器@csrf_exempt
这个成功了，明天继续画图分析具体实现方式