django 中间件
- 中间件
- 自定义中间件
- 使用函数定义中间件
- 使用类定义中间件
- Django内置的中间件
- django.middleware.common.CommonMiddleware
- django.middleware.gzip.GZipMiddleware
- django.contrib.messages.middleware.MessageMiddleware
- django.middleware.security.SecurityMiddleware
- django.contrib.sessions.middleware.SessionMiddleware
- django.contrib.auth.middleware.AuthenticationMiddleware
- django.middleware.csrf.CsrfViewMiddleware
- django.middleware.clickjacking.XFrameOptionsMiddleware
- 缓存中间件:用来缓存一些页面的。
- 内置中间件放置的顺序:
中间件
中间件是在request和response处理过程中的一个插件。
比如在request到达视图函数之前,可以判断当前这个用户有没有登录,如果登录了,就绑定一个user对象到request上。
也可以在response到达浏览器之前,做一些相关的处理,比如想要统一在response上设置一些cookie信息等。
自定义中间件
中间件所处的位置没有规定。只要是放到项目当中即可。
一般分为两种情况,如果中间件是属于某个app的,那么可以在这个app下面创建一个python文件用来存放这个中间件,也可以专门创建一个Python包,用来存放本项目的所有中间件。
创建中间件有两种方式,一种是使用函数,一种是使用类。
使用函数定义中间件
使用函数定义中间件,比如可以再step2中做一些校验,用户是否登录,如果未登录,直接返回401 HttpResponse,不需要再执行视图函数。
使用类定义中间件
Django内置的中间件
django.middleware.common.CommonMiddleware
通用中间件。 from django.middleware.common import CommonMiddleware
-
限制 settings.py中 DISALLOWED_USER_AGENTS中指定的请求头来访问本网站。
DISALLOWED_USER_AGENT是一个正则表达式的列表。示例代码如下:
import re
DISALLOWED_USER_AGENTS = [
re.compile(r’^\sKaTeX parse error: Expected group after '^' at position 2: |^̲’),
re.compile(r’.PhantomJS.’)
]
这里只能限制带了user-agent请求头,其中包含PhantomJS或者user-agent为空的请求,如果本身没有带user-agent就不能限制。
-
如果开发者在定义url的时候,最后有一个斜杠。但是用户在访问url的时候没有提交这个斜杠,那么CommonMiddleware会自动的重定向到加了斜杠的url上去。
django.middleware.gzip.GZipMiddleware
将响应数据进行压缩。如果内容长度少于200个长度,那么就不会压缩。
在settings.py中配置Gzip中间件:
django.contrib.messages.middleware.MessageMiddleware
消息处理相关的中间件。
django.middleware.security.SecurityMiddleware
做了一些安全处理的中间件。比如设置XSS防御的请求头,比如做了http协议转https协议的工作等。
django.contrib.sessions.middleware.SessionMiddleware
session中间件。通过读取request.COOKIES中的信息,给request添加一个处理好的session对象。
django.contrib.auth.middleware.AuthenticationMiddleware
会给request添加一个user对象的中间件。
django.middleware.csrf.CsrfViewMiddleware
CSRF保护的中间件。
前后端分离场景解决csrf问题,目前看到比较好的解决方案:
-
获取csrf_token:
token = django.middleware.csrf.get_token(request) -
如果有登录的视图,在登录成功后在Cookie中设置token。
-
前端从cookie中获取token,发送POST请求时,设置 X-CSRFToken:token。
django.middleware.clickjacking.XFrameOptionsMiddleware
做了clickjacking攻击的保护。
clickjacking保护是攻击者在自己的病毒网站上,写一个诱惑用户点击的按钮,然后使用iframe的方式将受攻击的网站(比如银行网站)加载到自己的网站上去,并将其设置为透明的,用户就看不到,然后再把受攻击的网站(比如银行网站)的转账按钮定位到病毒网站的按钮上,这样用户在点击病毒网站上按钮的时候,实际上点击的是受攻击的网站(比如银行网站)上的按钮,从而实现了在不知不觉中给攻击者转账的功能。
设置X-Frame-Options:SAMEORIGIN, 即不允许当前页面被iframe嵌套使用。
缓存中间件:用来缓存一些页面的。
django.middleware.cache.UpdateCacheMiddleware。
django.middleware.cache.FetchFromCacheMiddleware。
内置中间件放置的顺序:
- SecurityMiddleware:应该放到最前面。因为这个中间件并不需要依赖任何其他的中间件。如果你的网站同时支持http协议和https协议,并且你想让用户在使用http协议的时候重定向到https协议,那么就没有必要让他执行下面一大串中间件再重定向,这样效率更高。
- UpdateCacheMiddleware:应该在SessionMiddleware, GZipMiddleware, LocaleMiddleware之前。
- GZipMiddleware。
- ConditionalGetMiddleware。
- SessionMiddleware。
- LocaleMiddleware。
- CommonMiddleware。
- CsrfViewMiddleware。
- AuthenticationMiddleware。
- MessageMiddleware。
- FetchFromCacheMiddleware。
- FlatpageFallbackMiddleware。
- RedirectFallbackMiddleware。