1、CSRF是什么?
<1>CSRF:跨站請求偽造,是一種挾持用戶在當前已經登錄的web應用程序上執行非本意的操作的攻擊方法..
<2>跨站請求攻擊,簡單說:就是攻擊者通過一些技術手段欺騙用戶的瀏覽器去訪問一個自己曾經認證過的網站執行一些操作(比如:發郵件,發消息,網購,財產操作,),由于瀏覽器曾經認證過,所以被訪問的網站會認為是真正的用戶操作而去執行,….也就是web中的身份驗證的漏洞,簡單的身份驗證只能保證請求發自某個用戶的瀏覽器,卻不能保證請求本事是用戶自愿發出的.
<3>防止這種發生的方法:1.在django項目里的setting里,將以下注釋掉,不推薦.
2.所以推薦方法是:在form表單中添加{%? csrf_token? %}
?????????????????? 在使用post方法的form中添加{%? csrf_token? %}
所以django中的csrf驗證需要form中隱藏字段和cookie中的csrf_token共同發給服務器完成csrf驗證.?
