Django CSRF 原理解析

在 Web 应用中，CSRF（跨站请求伪造）攻击是一种恶意行为，攻击者利用受害者的身份执行该身份无权执行的操作。Django 利用 CSRF 保护机制来防止此类攻击。

CSRF Token 工作原理

Django 在浏览器的 cookie 中存储一个名为 csrftoken 的 Token，并在每次 GET 请求中生成一个一次性的 csrfmiddlewaretoken Token 并将其包含在响应的 HTML 中。

当发起 POST 请求时，浏览器将 csrftoken 和 csrfmiddlewaretoken Token 同时携带在请求中。Django 服务器验证这两个 Token 是否匹配。如果匹配，则请求被视为合法。

跨站攻击防范

跨站攻击者无法获取受害者的 csrftoken，因为该 Token 存储在受害者的浏览器 cookie 中，受浏览器同源策略的保护。即使攻击者可以通过其他方式获得 csrftoken，他们仍然无法生成匹配的 csrfmiddlewaretoken，因为该 Token 每次 GET 请求都会变化。

服务器端验证

Django 服务器在验证 Token 时，并非简单比较字符串字面量。它执行加密签名的数学验证，以确保 Token 是由 Django 服务器生成的，并且没有被篡改。

跨域问题

尽管浏览器通常不允许跨域请求，但 Django 仍然实施 CSRF 保护，以防范跨域攻击。以下是在跨域情况下 CSRF 防御工作原理：

• Django 的中间件会检查所有请求，无论其来源域如何。
• 如果请求中包含 csrftoken 和 csrfmiddlewaretoken Token，则服务器将进行验证。
• 如果验证失败，则请求将被拒绝，即使它来自跨域域。