简述django 中 csrf 的实现机制？

八股文_Django 框架 0 8

参考回答

Django 中的 CSRF（Cross-Site Request Forgery，跨站请求伪造）保护机制是一种防止恶意网站通过伪造用户请求来执行非法操作的安全措施。Django 通过生成和验证 CSRF token 来实现这一机制，确保每个敏感操作（如表单提交）只能由合法用户执行。

Django 的 CSRF 实现机制主要包括以下几个部分：

生成 CSRF Token：当用户访问页面时，Django 会为该用户生成一个独特的 CSRF token，并将其作为隐藏字段嵌入到所有需要 CSRF 保护的表单中。
表单提交时验证 Token：当表单提交时，Django 会检查请求中是否包含正确的 CSRF token。通过与用户会话中的 token 比较，验证请求是否有效。
中间件：Django 提供了一个内置的中间件 CsrfViewMiddleware，它在请求到达视图之前检查请求中的 CSRF token 是否有效。
Cookie 存储：CSRF token 通常存储在用户的浏览器 cookie 中，这样用户在提交表单时可以自动将其带上。

详细讲解与拓展

1. CSRF Token 的生成与验证

生成 Token：每当一个用户登录并访问页面时，Django 会在用户的会话中生成一个唯一的 CSRF token，并通过 HttpResponse 或模板将其发送到客户端。这个 token 会存储在客户端的 cookie 中，并且会嵌入到 HTML 表单中。
验证 Token：在每次提交表单时，Django 会检查请求中是否包含有效的 CSRF token。Django 会从请求中提取 token，并与用户会话中的 token 比较。如果它们匹配，说明请求合法；如果不匹配，则请求被视为非法，Django 会拒绝处理该请求，并返回 403 错误（Forbidden）。

2. `CsrfViewMiddleware` 中间件

CsrfViewMiddleware 是 Django 默认启用的中间件，它会在每次请求时自动验证 CSRF token。此中间件的工作原理是：
– 对于 GET 请求和安全的 HTTP 方法（如 OPTIONS、HEAD），Django 不会进行 CSRF 检查。
– 对于 POST、PUT、DELETE 等修改数据的请求，Django 会验证请求中是否包含有效的 CSRF token。

该中间件默认是启用的，可以在 settings.py 中的 MIDDLEWARE 配置中看到：

MIDDLEWARE = [
    # 其他中间件
    'django.middleware.csrf.CsrfViewMiddleware',
]

3. 如何在模板中使用 CSRF Token

Django 提供了一个模板标签 {% csrf_token %}，它可以在 HTML 表单中插入 CSRF token。这个标签会自动生成一个 <input> 元素，并将 token 嵌入其中。

示例：

<form method="post">
    {% csrf_token %}
    <input type="text" name="username" />
    <input type="password" name="password" />
    <button type="submit">Submit</button>
</form>

这里，{% csrf_token %} 会在表单中插入一个隐藏字段，字段的值是当前用户的 CSRF token。当用户提交表单时，这个 token 会随表单数据一起提交。

4. AJAX 请求中的 CSRF Token

对于 AJAX 请求，Django 也要求提供 CSRF token。通常，AJAX 请求的 header 中需要包括 CSRF token，Django 会自动验证它。

示例（使用 jQuery）：

$.ajax({
    url: '/submit/',
    type: 'POST',
    data: {
        username: 'user',
        password: 'pass'
    },
    beforeSend: function(xhr) {
        var csrfToken = document.querySelector('[name=csrfmiddlewaretoken]').value;
        xhr.setRequestHeader("X-CSRFToken", csrfToken);  // 将 CSRF token 添加到请求头
    },
    success: function(response) {
        console.log('Form submitted successfully!');
    }
});

在这里，X-CSRFToken 是自定义的 header 名称，用于传递 CSRF token。Django 会从请求头中读取该 token 并进行验证。

5. 禁用 CSRF 校验

对于某些特殊的场景，如 API 接口或外部服务的调用，你可能需要禁用 CSRF 校验。可以通过使用 @csrf_exempt 装饰器来禁用特定视图的 CSRF 校验。

示例：

from django.views.decorators.csrf import csrf_exempt

@csrf_exempt
def my_view(request):
    # 不会进行 CSRF 校验
    return HttpResponse('CSRF check is disabled')

6. 总结

Django 的 CSRF 防护机制通过以下步骤实现：
1. 生成 CSRF token，并将其存储在用户会话中。
2. 使用 {% csrf_token %} 模板标签将 token 嵌入表单。
3. 提交表单时，Django 验证请求中的 token 是否与会话中的一致。
4. 使用 CsrfViewMiddleware 中间件自动验证请求中的 CSRF token。
5. 对于 AJAX 请求，开发者需要手动将 token 添加到请求头。

通过这种方式，Django 提供了强大的 CSRF 防护，避免了恶意网站伪造请求执行危险操作。