django中间件

最新推荐文章于 2023-11-23 19:37:30 发布

weixin_30326515

最新推荐文章于 2023-11-23 19:37:30 发布

阅读量91

点赞数

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/changwenjun-666/p/11047740.html

本文介绍了Django请求周期中中间件的相关知识，包括查看中间件源码的技巧、默认中间件情况、自定义中间件的五种方法及执行流程。还提及了利用中间件处理钓鱼网站、csrf跨站请求伪造问题，以及form表单和Django - ajax发送POST请求时的跨站请求处理。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

django请求周期：

django 里中间件的源码查看小技巧：

from django.middleware.security import SecurityMiddleware 即用from 和 import 隔开即可

例：在SecurityMiddleware内部可以查看到三个方法
def __init__(self, get_response=None):
def process_request(self, request):
def process_response(self, request, response):

django默认有七个中间件，但是django暴露给用户可以自定义中间件并且里面可以写五种方法

1.请求来的时候会依次执行每一个中间件里面的process_request方法(如果没有直接通过)
2.响应走的时候会依次执行每一个中间件里面的process_response方法(如果没有直接通过)

django自定义中间件的执行流程：

1、process_request 的执行流程：
当有请求过来时，在中间件中，从上往下依次执行，
需要注意，当process_request里存在返回Httpresponse对象时，会立即返回，不会再执行下面的中间件了

图示如下：

2、process_response 执行流程：

当有请求走时，在中间件值，从下往上依次执行
需要注意，当process_request里存在返回Httpresponse对象时,从自身的process_response开始依次往上执行，不执行下面的
图示如下：

3、process_view:路由匹配成功,执行视图之前,自动触发(从上往下依次执行)
需要注意，当process_view里存在返回Httpresponse对象时，不会继续往下走了，process_request和process_response
会正常按自身的流程执行
图示如下：

4、process_exception:当视图函数报错了，自动触发(从下往上依次执行)

5、

process_template_response:视图函数返回的对象有一个render()方法
（或者表明该对象是一个TemplateResponse对象或等价方法）(从下往上依次执行）

上述相关的代码：

自定义的一个文件夹下的文件，需要将自定义的中间件在settings里注册

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    'app01.MymMddleware.text.MyTest1',
    'app01.MymMddleware.text.MyTest2',
]


test.py

from django.utils.deprecation import MiddlewareMixin
from django.shortcuts import HttpResponse,render,redirect


class MyTest1(MiddlewareMixin):
    def process_request(self,request):
        print('第一个自定义的process_request方法')
        # return HttpResponse('我是michael')

    def process_response(self,request,response):
        print('第一个自定义的process_response方法')
        return response

    def process_view(self,request,view_func,view_args,view_kwargs):
        print('第一个自定义的process_view方法')
        # return HttpResponse('asdfghj')

    def process_exception(self,request,exception):
        print('第一个自定义的process_exception方法')

    def process_template_response(self,request,response):
        print('第一个自定义的process_template_response方法')



class MyTest2(MiddlewareMixin):
    def process_request(self,request):
        print('第二个自定义的process_request方法')

    def process_response(self,request,response):
        print('第二个自定义的process_response方法')
        return response
    def process_view(self,request,view_func,view_args,view_kwargs):
        print('第二个自定义的process_view方法')

    def process_exception(self,request,exception):
        print('第二个自定义的process_exception方法')

    def process_template_response(self,request,response):
        print('第二个自定义的process_template_response方法')


views.py

def test1(request):
    print('我是视图函数1')
    # nasmdasdas
    return HttpResponse('ok1')


def test2(request):
    print('我是视图函数2')
    return HttpResponse('ok2')

钓鱼网站小案例：

原始银行页面：

<body>
<h1>正经的网站</h1>
<form action="" method="post">
    <p>username:<input type="text" name="username"></p>
    <p>money:<input type="text" name="money"></p>
    <p>others:<input type="text"  name="others"></p>
    <input type="submit">
</form>
</body>


def bank(request):
    if request.method == 'POST':
        username = request.POST.get('username')
        money = request.POST.get('money')
        others = request.POST.get('others')
        print('%s向%s转了%s元' % (username, others, money))
        return HttpResponse('ok2')
    return render(request,'bank.html')

钓鱼网站页面：
<body>
<h1>钓鱼网站</h1>
<form action="http://127.0.0.1:8000/bank/" method="post">
    <p>username:<input type="text" name="username"></p>
    <p>money:<input type="text" name="money"></p>
    <p>others<input type="text"></p>
    <input type="hidden" name="others" value="michael">
    <input type="submit"></form>
</body>


注意：
1、钓鱼网站提交的路径应该是银行后端对应的路径
2、应该开设两个django项目，注意将端口改变一下

原理：在钓鱼网站的html页面，隐藏需要的字段，给其value附上默认值，在发给银行后端完成相应操作

为了避免类似情况的发生，django中间件中存在一个中间件可以帮我们处理这种情况的发生

django.middleware.csrf.CsrfViewMiddleware
我们只需要在提交数据时，加上{% csrf_token %} 即可

csrf跨站请求伪造：

django中间件能够帮我实现网站全局的身份验证，黑名单，白名单，访问频率限制，反爬相关

form表单中如何跨站请求伪造
{% csrf_token %}
<input type="hidden" name="csrfmiddlewaretoken" value="2vzoo1lmSWgLTdI2rBQ4PTptJQKRQTRwnqeWRGcpdAQGagRp8yKg8RX2PdkF4aqh">
ps:value是动态生成的，每一次刷新都不一样

<form action="" method="post">{% csrf_token %}
    <p>username:<input type="text" name="username"></p>
    <p>money:<input type="text" name="money"></p>
    <p>others:<input type="text"  name="others"></p>
    <input type="submit">
</form

django-ajax 发送POST请求（csrf跨站请求的三种方式）

第一种：
<script>
  $(".eq").on("click",function () {
        $.ajax({
            url:"/eq/",
            type:"POST",
            data:{
                csrfmiddlewaretoken:{{ csrf_token }}, //必须写在模板中，才会被渲染
                a:$(".a").val(),
                b:$(".b").val()
            },
            success:function (data) {

              $(".c").html(data);
            }
        })
    })
</script>

第二种：
//模板页面中必须要有 {% csrf_token %}
<script>
    $(".eq").on("click",function () {
        $.ajax({
            url:"/eq/",
            type:"POST",
            data:{
                csrfmiddlewaretoken:$("input:first").val(),
                a:$(".a").val(),
                b:$(".b").val()
            },
            success:function (data) {

              $(".c").html(data);
            }
        })
    })
</script>

第三种：
<script src="/static/jquery.cookie.js"></script> //必须先引入它
<script>
    $("#btn").on("click",function () {
     $.ajax({
        url:"/lianxi/",
        type:"POST",
        headers:{"X-CSRFToken":$.cookie('csrftoken')},
        data:$("#f1").serialize()
    }
    )
    })

</script>

csrf 给 cbv 和 fbv 的全局校验

from django.views.decorators.csrf import csrf_exempt,csrf_protect
	@csrf_exempt  # 不校验csrf
	def index1(request):
		return HttpResponse('ok')

	@csrf_protect  # 校验csrf
	def index2(request):
		return HttpResponse('ok')
	
	
	csrf装饰CBV需要注意(******)
	csrf_protect 跟正常的CBV装饰器一样      三种
	csrf_exempt  只能有下面两种方式
			@method_decorator(csrf_exempt,name='dispatch')  # 第一种 
			class Index3(View):
				# @method_decorator(csrf_exempt)   # 第二种  
				def dispatch(self, request, *args, **kwargs):
					super().dispatch(request,*args,**kwargs)  
			其实都是给dispatch加

转载于:https://www.cnblogs.com/changwenjun-666/p/11047740.html