python-Django里CSRF对应策略

CSRF（Cross Site Request Forgery, 跨站域请求伪造）是一种网络的×××方式。

创新互联建站是一家集网站建设,君山企业网站建设,君山品牌网站建设,网站定制,君山网站建设报价,网络营销,网络优化,君山网站推广为一体的创新建站企业，帮助传统企业提升企业形象加强企业竞争力。可充分满足这一群体相比中小企业更为丰富、高端、多元的互联网需求。同时我们时刻保持专业、时尚、前沿，时刻以成就客户成长自我，坚持不断学习、思考、沉淀、净化自己，让我们为更多的企业打造出实用型网站。

    我的理解是，比如你访问过招商银行的网站并登陆之后，你的cookie信息暂时不会失效，

    这时，hacker通过各种方式诱导你访问他给你提供的网站等链接，让你在同一浏览器访问

    hacker给你的网站时，那么他给你提供的网站里面有直接有向招商银行提交转账信息的请求，这时，

    这个转账请求会借用你刚刚登陆过招商银行的cookie信息，来使用的你的身份进行合法的转账。

那么为了减少这个情况的发生，在客户端与服务端交互的时候，当客户端浏览器第一次访问cookie的时候，服务端会有基于csrf的随机验证字符串生成，然后把这些字符串写到客户端cookie里，同时服务端在session里保存一份，当客户端浏览器再次发来post请求的时候，服务端会验证cookie里csrf_token（就是生成的这个随机字符串）。

Django里自动帮我们封装了这个功能，在Django项目里的setting.py文件里会默认开启'django.middleware.csrf.CsrfViewMiddleware',这一项功能。

所以我们html文件里有post请求的时候要在from表单里添加{% csrf_token %}这一项

    
    


    

        
 {% csrf_token %}
            
            
            
        
    

但是有的时候是不需要 csrf_token 认证的，有的时候是需要的，但是Django项目里的setting.py文件里设置了'django.middleware.csrf.CsrfViewMiddleware'之后就是全局生效了；这就 不是我们所需要的了。

那么如果有的函数不需要csrf_token 认证的话，那么就需要用到@csrf_exempt装饰器来设置单个函数不用csrf_token 认证

from django.views.decorators.csrf import csrf_exempt,csrf_protect

@csrf_exempt是不需要设置csrf_token认证的

@csrf_protect是  需要设置csrf_token 认证的