Django 2.1.7 模板 - CSRF 跨站请求伪造

蓮花仙者

发布时间：2025-10-03 09:47:40

849人浏览过

来源于php中文网

原创

了解如何在django 2.1.7中处理csrf跨站请求伪造问题是至关重要的。本文将详细介绍django 2.1.7中关于csrf的相关内容，包括如何设置和使用csrf保护。

Django 2.1.7 模板 - CSRF 跨站请求伪造

示例：模拟CSRF攻击过程

我们将启动两个Django服务来模拟攻击过程。

构建第一个Django项目：

打开assetinfo/views.py文件，创建视图login、login_check、post和post_action。

def login(request):
    return render(request, 'assetinfo/login.html')
def login_check(request):
username = request.POST.get('username') # 获取用户名
password = request.POST.get('password') # 获取密码
校验
if username == 'smart' and password == '123':
    request.session['username'] = username # 记住登录用户名
    request.session['islogin'] = True # 判断用户是否已登录
    return redirect('/assetinfo/post/')
else:
    return redirect('/assetinfo/login/')
def post(request):
return render(request, 'assetinfo/post.html')
def post_action(request):
if request.session['islogin']:
username = request.session['username']
return HttpResponse('用户'+username+'发了一篇帖子')
else:
return HttpResponse('发帖失败')

配置URL：

打开assetinfo/urls.py文件，配置URL。

urlpatterns = [
ex:/assetinfo/login
path('login/', views.login),
# ex:/assetinfo/login_check
path('login_check/', views.login_check),
# ex:/assetinfo/post
path('post/', views.post),
# ex:/assetinfo/post_action
path('post_action/', views.post_action),
]

创建模板文件：

在templates/assetinfo/目录下创建login.html和post.html。

login.html：
```
用户登录
用户名：


密码：
```
post.html：
```
发帖页面
标题:


内容:
```
启动服务器：
```
python3 manage.py runserver
```
访问网站A：

在浏览器中输入https://www.php.cn/link/d3e2fe4ac9568e0b59ad61ccbc933906，登录后进入发帖页面。
模拟网站B：

使用Django的第二个项目创建post.html，并修改action路径。
```
B网站模拟请求页面
标题:


内容:
```
禁用CSRF保护：

打开第一个项目的mysite/settings.py文件，注释掉CSRF中间件。
测试攻击效果：

在网站A中点击“发帖”按钮：

DeepAI
为天生具有创造力的人提供的AI工具

下载

在网站B中点击“发帖”按钮：

通过action直接访问网站A的地址，成功执行发帖。

发现无论从网站A还是网站B都可以访问网站A的post_action视图，这是不安全的。

防止CSRF攻击

启用CSRF中间件：

在网站A的mysite/settings.py中启用CSRF中间件。

注意，Django 2开始，中间件配置应在MIDDLEWARE中：
```
MIDDLEWARE = (
'django.contrib.sessions.middleware.SessionMiddleware',
'django.middleware.csrf.CsrfViewMiddleware',
)
```
测试启用CSRF中间件后的效果：

在网站A和网站B中点击“提交”按钮：
在表单中添加CSRF令牌：

在templates/assetinfo/post.html中，添加csrf_token标签：
```
{% csrf_token %}
```
测试网站A的效果：

在网站A中点击“提交”按钮：
测试网站B的效果：

在网站B中点击“提交”按钮：

至此，成功在Django中完成CSRF防护。