CSRF和中间件
CSRF使用
说明csrf存在cookie中
全局使用
MIDDLEWARE = [
'django.middleware.security.SecurityMiddleware',
'django.contrib.sessions.middleware.SessionMiddleware',
'django.middleware.common.CommonMiddleware',
'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'django.middleware.clickjacking.XFrameOptionsMiddleware',
]
局部使用
先导入 from django.views.decorators.csrf import csrf_exempt,csrf_protect
@csrf_protect，为当前函数强制设置防跨站请求伪造功能，即便settings中没有设置全局中间件。
@csrf_exempt，取消当前函数防跨站请求伪造功能，即便settings中设置了全局中间件。
前端使用
1.通过引入js实现
function getCookie(name) {
var cookieValue = null;
if (document.cookie && document.cookie !== '') {
var cookies = document.cookie.split(';');
for (var i = 0; i < cookies.length; i++) {
var cookie = jQuery.trim(cookies[i]);
// Does this cookie string begin with the name we want?
if (cookie.substring(0, name.length + 1) === (name + '=')) {
cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
break;
}
}
}
return cookieValue;
}
var csrftoken = getCookie('csrftoken');
function csrfSafeMethod(method) {
// these HTTP methods do not require CSRF protection
return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
}
$.ajaxSetup({
beforeSend: function (xhr, settings) {
if (!csrfSafeMethod(settings.type) && !this.crossDomain) {
xhr.setRequestHeader("X-CSRFToken", csrftoken);
}
}
});
2、作为参数传入
<script>
var csrftoken = $.cookie('csrftoken');
$(function () {
$('#btn').click(function () {
$.ajax({
url:'/login/',
type:"POST",
data:{'username':'root','pwd':'123123'},
header:{'X-CSRFtoken':csrftoken},
success:function (arg) { }
})
})
})
</script>
3、自定义form引入
{% csrf_token %}
中间件
1.概述
定义：中间件是在wsgi之后 urls.py之前 在全局 操作Django请求和响应的模块！
# 中间件的相关设置
MIDDLEWARE = [
'django.middleware.security.SecurityMiddleware', 'django.contrib.sessions.middleware.SessionMiddleware', # request.session 'django.middleware.common.CommonMiddleware', 'django.middleware.csrf.CsrfViewMiddleware', 'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'django.middleware.clickjacking.XFrameOptionsMiddleware',
'my_middleware.OoXx',
'my_middleware.MD2',
]
2.中间件的五种方法
(1) .process_request(self,request)
请求来时执行，不写直接跳过，执行下一个中间件；当有return HttpResonse时，下面中间件不再执行。
执行顺序：
按照注册的顺序（在settings.py里面设置中 从上到下的顺序）
何时执行：
请求从wsgi拿到之后
返回值：
返回None，继续执行后续的中间件的process_request方法
返回response , 不执行后续的中间件的process_request方法
(2) process_view(self, request, callback, callback_args, callback_kwargs)
先执行process_request，执行完后，再从起始执行proces_view
执行顺序：
按照注册的顺序（在settings.py里面设置中 从上到下的顺序）
何时执行：
在urls.py中找到对应关系之后 在执行真正的视图函数之前
返回值：
返回None，继续执行后续的中间件的process_view方法
返回response,
(3) process_template_response(self,request,response)
如果Views中的函数返回的对象中，具有render方法，此方法执行
执行顺序：
按照注册顺序的倒序（在settings.py里面设置中 从下到上的顺序）
何时执行：
视图函数执行完，在执行视图函数返回的响应对象的render方法之前
返回值：
返回None,继续执行后续中间件的process_exception
返回response，
(4). process_exception(self, request, exception)
异常触发执行，当views.py函数执行出错后，此方法执行；出错时，最低层的exception优先级最高，执行最近的一个，然后执行respnse方法
执行顺序：
按照注册顺序的倒序（在settings.py里面设置中 从下到上的顺序）
何时执行：
视图函数中抛出异常的时候才执行
返回值：
返回None,继续执行后续中间件的process_exception
返回response，
(5). process_response(self, request, response)
请求返回时执行，不写时直接跳过，执行下一个中间件；当有return HttpResonse时，会替换原数据
执行顺序：
按照注册顺序的倒序（在settings.py里面设置中 从下到上的顺序）
何时执行：
请求有响应的时候
返回值：
必须返回一个response对象
以上方法的返回值可以是None和HttpResonse对象，如果是None，则继续按照django定义的规则向下执行，如果是HttpResonse对象，则直接将该对象返回给用户
Django调用 注册的中间件里面五个方法的顺序：
1. process_request
urls.py
2. process_view
view
3. 有异常就执行 process_exception
4. 如果视图函数返回的响应对象有render方法,就执行process_template_response
5. process_response
3.自定义中间件
创建文件 my_middleware.py
from django.shortcuts import HttpResponse, redirect """
自定义的中间件
"""
from django.utils.deprecation import MiddlewareMixin # 定义一个可以访问的白名单
URL = ["/oo/", "/xx/", "/haha/"] class OoXx(MiddlewareMixin): def process_request(self, request):
print("这是我的第一个中间件：OoXx！")
print(id(request))
# print(request.path_info)
# # 如果用户访问的URL 在 白名单里面
# if request.path_info in URL:
# return
# # 否则 直接返回一个 响应 不走视图那部分了
# else:
# return HttpResponse("gun!") def process_response(self, request, response):
"""
:param request: 是浏览器发来的请求对象
:param response: 是视图函数返回的响应对象
:return:
"""
print("这是OOXX中间件里面的 process_response")
# return response
return HttpResponse("hahahaha") def process_view(self, request, view_func, view_args, view_kwargs):
""" :param request: 浏览器发来的请求对象
:param view_func: 将要执行的视图函数的名字
:param view_args: 将要执行的视图函数的位置参数
:param view_kwargs: 将要执行的视图函数的关键字参数
:return:
"""
print("ooxx里面的process_view")
print(view_func, type(view_func))
return HttpResponse("ooxx：process_view") def process_exception(self, request, exception):
print(exception)
print("ooxx里面的process_exception")
return redirect("http://www.baidu.com") def process_template_response(self, request, response):
print("ooxx 中的process_template_response")
return response def process_request(self, request):
request.s10 = {"is_login": 1, "name": "s10"} class MD2(MiddlewareMixin): # def process_request(self, request):
# print("这是我的第二个中间件：MD2！")
# print(id(request))
#
# def process_response(self, request, response):
# print("这是MD2中间件里面的 process_response")
# return response
#
# def process_view(self, request, view_func, view_args, view_kwargs):
# print("MD2里面的process_view")
# print(view_func, type(view_func))
# return HttpResponse("md2：process_view") # def process_exception(self, request, exception):
# print(exception)
# print("MD2里面的process_exception") # def process_template_response(self, request, response):
# print("MD2 中的process_template_response")
# return response def process_request(self, request):
print(request.s10.get("is_login"))
注册
# 中间件的相关设置
MIDDLEWARE = [
'django.middleware.security.SecurityMiddleware', 'django.contrib.sessions.middleware.SessionMiddleware', # request.session 'django.middleware.common.CommonMiddleware', 'django.middleware.csrf.CsrfViewMiddleware', 'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'django.middleware.clickjacking.XFrameOptionsMiddleware',
'my_middleware.OoXx',
'my_middleware.MD2',
]
请求测试
from django.shortcuts import render, HttpResponse, redirect # Create your views here. def index(request):
print("这是app01里面的index视图函数...")
# raise ValueError("sb")
rep = HttpResponse("O98K")
print("视图函数中的s10:", request.s10)
def render():
print("我是index视图函数内部的render方法")
return redirect("http://www.luffycity.com") rep.render = render
return rep