标签：副作用 pos function data main 服务器 单元素 script django
什么是CSRF
CSRF, Cross Site Request Forgery, 跨站点伪造请求。举例来讲，某个恶意的网站上有一个指向你的网站的链接，如果
某个用户已经登录到你的网站上了，那么当这个用户点击这个恶意网站上的那个链接时，就会向你的网站发来一个请求，
你的网站会以为这个请求是用户自己发来的，其实呢，这个请求是那个恶意网站伪造的
Django提供的CSRF防护机制
django 第一次响应来自某个客户端的请求时，会在服务器端随机生成一个 token，把这个 token 放在 cookie 里。然后每次 POST 请求都会带上这个 token，
这样就能避免被 CSRF 攻击
Django里如何使用CSRF防护
定义urls.py
from django.conf.urls import url from django.contrib import admin from app01 import views urlpatterns = [ url(r‘^admin/‘, admin.site.urls), url(r‘^csrf/‘, views.csrf), ]
定义views.py
from django.shortcuts import render,HttpResponse def csrf(request): return render(request,‘csrf.html‘)
定义csrf.html
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> <script src="/static/jquery.min.js"></script> <script src="/static/jquery.cookie.js"></script> </head> <body> <form action="/csrf/" method="post"> {% csrf_token %} #普通的form提交需要加 {% csrf_token %} <input type="text" name="v"/> <input type="submit" valu ="提交"/> </form> <input type="button" value="Ajax提交" onclick="DoAjax();" /> #ajax提交,csrf <script> var csrftoken = $.cookie(‘csrftoken‘); function csrfSafeMethod(method) { return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method)); } $.ajaxSetup({ #这步骤的意思是所有的ajax提交都会先走这条配置,就不用每个ajax提交都配置CSRF了 beforeSend: function(xhr,settings) { if (!csrfSafeMethod(settings.type) && !this.crossDomain){ xhr.setRequestHeader("X-CSRFToken",csrftoken); } } }); function DoAjax() { $.ajax({ url: ‘/csrf/‘, type: ‘POST‘, data: {‘k1‘:‘v1‘}, success: function (callback) { console.log(callback) } }) } </script> </body> </html>
标签：副作用 pos function data main 服务器 单元素 script django
原文地址：http://www.cnblogs.com/zhaijunming5/p/6493254.html
