? ? ?
?
關鍵詞：Python、Web、Django、跨站請求偽造、CSRF
大家好，今天我將分享web關于安全的話題：Django 的跨站點請求偽造（CSRF）保護，介紹 CSRF 的概念、原理和保護方法.
1. CSRF 是什么？
CSRF，全稱為 Cross-Site Request Forgery，中文翻譯為跨站點請求偽造。
簡單來說，它是一種惡意攻擊方式，黑客利用用戶在另一個網站上的登錄狀態，冒充用戶發送請求，進行非法操作。
舉個例子，你在瀏覽一個論壇的時候，不小心點擊了一個帖子，結果你的賬號信息被竊取，銀行卡被盜刷了！
2. CSRF 的原理
那么，CSRF 攻擊是怎么實現的呢？假設你正在購物網站上瀏覽商品，當你點擊某個商品的時候，網站會發送一個請求給服務器，告訴服務器你想要購買這個商品。
而黑客正是利用這個機制，通過構造惡意頁面，在你不知情的情況下發送請求。服務器收到請求后并不知道這是一個欺騙性的請求，于是執行了對應的操作，可能是刪除商品、修改密碼等等，這就是 CSRF 攻擊的原理。
3. Django 的 CSRF 保護機制
Django 是如何保護我們的網站免受 CSRF 攻擊的？
3.1 CSRF Token
Django 的 CSRF 保護機制主要依賴于 CSRF Token。
這個 Token 是一個隨機生成的字符串，每次請求頁面時都會將它嵌入到表單中或者設置到 Cookie 中。當用戶提交表單時，Django 會檢查請求中的 Token 是否與 Cookie 中的 Token 一致，如果不一致，則拒絕這個請求，從而有效地防止了 CSRF 攻擊。
當然，如果攻擊者能夠獲取到用戶的Cookie，就可以利用這些Cookie來偽造用戶的身份，從而繞過CSRF保護機制。
為了防范這種情況，有幾個常用的方法可以采取：
-
使用HttpOnly標記：將Cookie標記為HttpOnly，這樣JavaScript無法訪問Cookie的值，只能在HTTP請求中自動發送。這可以防止大部分的跨站腳本攻擊（XSS）。
#?在Django中設置Cookie為HttpOnly
response.set_cookie('cookie_name',?'cookie_value',?httponly=True)
-
啟用Secure標記：將Cookie標記為Secure，這樣它只能通過HTTPS連接進行傳輸。這可以防止中間人攻擊，確保Cookie只在安全的通信通道中傳輸。
#?在Django中設置Cookie為Secure
response.set_cookie('cookie_name',?'cookie_value',?secure=True)
-
設置SameSite屬性：通過設置SameSite屬性，可以限制Cookie的發送范圍，確保它只能在同一站點的請求中發送。這可以防止跨站點請求偽造（CSRF）攻擊。
#?在Django中設置Cookie的SameSite屬性
response.set_cookie('cookie_name',?'cookie_value',?samesite='Strict')
3.2 設置 CSRF Token
在 Django 中，設置 CSRF Token 非常簡單。你只需要在表單中添加一個隱藏字段，然后在后端代碼中通過模板標簽將 Token 插入到該字段中即可：
<form?method="post">{%?csrf_token?%}<!--?其他表單字段?--><button?type="submit">提交</button>
</form>
3.3 驗證 CSRF Token
當用戶提交表單時，Django 會自動驗證 CSRF Token 的有效性。
如果 Token 不匹配，Django 會拋出一個異常，你可以在代碼中捕獲這個異常，并采取相應的處理措施，例如返回一個錯誤頁面或者重新生成 Token。
也可以顯式關閉CSRF：
from?django.shortcuts?import?render
from?django.views.decorators.csrf?import?csrf_exempt#?裝飾器，用于關閉?CSRF?保護@csrf_exempt
def?my_view(request):
\#?處理請求的邏輯代碼
return?render(request,?'my_template.html')
在上面的示例代碼中，我們使用了?csrf_exempt?裝飾器來關閉 CSRF 保護，這樣就可以在視圖函數?my_view?中處理請求而不受 CSRF Token 的限制。
當然，在實際開發中并不建議關閉 CSRF 保護，而是要正確地使用 CSRF Token 來保護網站的安全性。
4. 技術總結
本文詳細介紹了 Django 中的跨站點請求偽造（CSRF）保護機制。實際開發中，僅僅靠CSRF機制并不是絕對安全的，還應該結合其他安全措施，綜合多種技術來確保應用程序的安全性。
