Django 模板继承csrfToken原理

csrf（Cross Site Request Frogery 跨站请求伪造）

跨站请求攻击，简单地说，是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证过的网站并运行一些操作（如发邮件，发消息，甚至财产操作如转账和购买商品）。由于浏览器曾经认证过，所以被访问的网站会认为是真正的用户操作而去运行。这利用了web中用户身份验证的一个漏洞：简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的。

Django的解决方法

Django预防csrf攻击的方法是在用户的表单中加入一个csrftoken的隐含值（隐藏的from表单），这个值和服务器中保存的csrftoken的值相同，这样做的原理如下：
1、在用户访问django的可信站点时，django反馈给用户的表单中有一个隐含 字段csrftoken，这个值是在发服务器端随机生成的，每一次提交表单都会生成不同的值。
2、当用户提交django表单时，服务器效验这个表单的csrftoken是否与自己保存的一致，来判断用户的合法性。
3、当用户被csrf攻击从其他站点发送精心编制的攻击请求时，由于其他站点不可能知道隐藏对csrftoken字段信息这样在服务端就会效验失败，攻击被成功防御。

Django 防攻击策略

1、不推荐禁用掉django中的CSRF
2、我们可以在html页面的from表单中添加scrf_token,带着表单的请求一起发送到服务器去验证。

	<from action method="post">
        {% csrf_token %}
        ...
    </from>

3、在后端一定要使用render()的方法返回数据
return render(request, ‘index.html’, {‘hello’: ‘123’})

全局
中间件： ‘django.middleware.csrf.CsrfViewMiddleware’

局部
@csrf_protect ， 为当前函数强制设置防跨站请求伪造，几十settings中没有设置中间件。

@csrf_exemp  取消当前函数防跨站伪造功能，即使settings中设置了全局中间件。