Django CSRF 的工作原理

CSRF（跨站请求伪造）是 Django 中保护 Web 应用程序免受恶意请求的一种技术。其原理主要基于浏览器发出的请求携带的两个令牌：

令牌机制

• csrftoken：存在于请求的 Cookie 头中，具有不可变的特性。
• csrfmiddlewaretoken：存在于请求的正文中，每次请求都会动态生成，是不变的。

验证过程

当浏览器发出请求时，Django 服务器会执行以下步骤来验证 CRSF 令牌：

• 提取请求 Cookie 头中的 csrftoken 和请求正文中的 csrfmiddlewaretoken。
• 比较这两个令牌的字符串值。

防范跨站攻击

跨站攻击中，攻击者无法获得受害者的 Cookie 和正文令牌。因此，他们无法构造具有有效令牌的欺骗性请求，从而达到攻击目的。

为什么需要两个令牌？

• csrftoken：防止攻击者操纵第 1 方 Cookie。
• csrfmiddlewaretoken：防止攻击者重用可预测的令牌。

浏览器与 CSRF

即使浏览器默认不允许跨域，Django 仍需要实施 CSRF 保护，因为：

• 攻击者可能绕过浏览器限制。
• Django 处理的请求不一定来自浏览器。