Django CSRF和CORS

一、CSRF：保护机制

Django预防CSRF攻击的方法是在用户提交的表单中加入一个csrftoken的隐含值，这个值和服务器中保存的csrftoken的值相同，这样做的原理如下:

1、在用户访问django的可信站点时，django反馈给用户的表单中有一个隐含字段csrftoken，这个值是在服务器端随机生成的，每一次提交表单都会生成不同的值

2、当用户提交django的表单时，服务器校验这个表单的csrftoken是否和自己保存的一致，来判断用户的合法性

3、当用户被csrf攻击从其他站点发送精心编制的攻击请求时，由于其他站点不可能知道隐藏的csrftoken字段的信息这样在服务器端就会校验失败，攻击被成功防御

二、CORS：跨域访问

举例：前端和后端分别是两个不同的端⼝

前端：127.0.0.1:8081
后端：192.168.17.129:8880

现在，前端与后端分别是不同的端⼝，这就涉及到跨域访问数据的问题，因为浏览器的同源策略，默认是不⽀持两个不同域名间相互访问数据，⽽我们需要在两个域名间相互传递数据，这时我们就要为后端添加跨域访问的⽀持。

django后端设置：

1、使用django-cors-headers扩展 a、安装

pip install django-cors-headers

b、添加子应用

INSTALLED_APPS = [ 
	... 
	'corsheaders', 
	...
]

c、中间件配置

MIDDLEWARE = [ 
	'corsheaders.middleware.CorsMiddleware',
	 ...
 ]

d、添加白名单

# 设置CORS⽩名单
CORS_ORIGIN_WHITELIST = ( 
	'http://127.0.0.1:8081',
	'http://127.0.0.1:8080', 
	'http://localhost:8080', 
	'http://www.nagle.cn:8080', 
	'http://api.nagle.cn:8083',
)

CORS_ALLOW_CREDENTIALS = True # 允许携带cookie

凡是出现在⽩名单中的域名，都可以访问后端接⼝CORS_ALLOW_CREDENTIALS 指明在跨域访问中，后端是否⽀持对cookie的操作。

2、跨域实现流程 a、浏览器会第一次先发送OPTIONS请求询问后端是否允许跨域，后端查询白名单中是否有这个域名 b、如果域名在白名单列表中则响应结果中告知浏览器允许跨域 c、浏览器第二次发送POST请求，携带用户登录数据到后端，完成登录验证操作