Python Django，CSRF攻击，CSRF防御

最新推荐文章于 2020-05-14 14:49:42 发布

原创

最新推荐文章于 2020-05-14 14:49:42 发布 · 467 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#Python #Django #csrf

本文介绍了在Django项目中如何防止CSRF攻击。通过默认开启csrf中间件，并在表单中使用{% csrf_token %}标签，确保表单提交时的安全性。防御原理涉及在页面生成隐藏域csrfmiddlewaretoken，同时服务器保存csrftoken cookie，两者比对一致才能通过验证。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

项目名/settings.py（项目配置，csrf中间件配置）：

MIDDLEWARE_CLASSES = (
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',  # django默认启用了csrf防护，只针对post表单提交进行防护。
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.auth.middleware.SessionAuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    'django.middleware.security.SecurityMiddleware',
)

templates/应用名/demo.html（模板文件，csrf防护）：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>修改密码页面</title>
</head>
<body>
<form method="post" action="/change_pwd_action">

    {% csrf_token