Django关闭CSRF保护|极客笔记

Django关闭CSRF保护

在Django中，默认情况下，跨站请求伪造（CSRF）保护是开启的。CSRF是一种攻击类型，攻击者利用用户在登录状态下的身份信息，通过伪造请求来执行恶意操作。Django自带的CSRF保护机制可以有效防止这种类型的攻击。

然而，在某些特定的场景下，可能需要关闭Django的CSRF保护，比如在开发阶段进行接口测试时。本文将详细介绍如何在Django中关闭CSRF保护。

CSRF保护的作用

CSRF保护是为了防止恶意网站通过用户已登录的身份，冒充用户发送POST请求。当用户访问恶意网站时，恶意网站可以在用户的浏览器中发送一些请求来执行一些恶意操作，比如修改用户的个人信息、发布博客等。

Django的CSRF保护是通过在每个POST请求中加入一个随机生成的token来实现的。如果请求中携带的token与服务器端的token不匹配，那么请求将被拒绝。

关闭CSRF保护的方法

在Django中关闭CSRF保护非常简单，只需要在需要关闭CSRF保护的视图函数上添加@csrf_exempt装饰器即可实现。

示例代码如下：

from django.views.decorators.csrf import csrf_exempt
from django.http import HttpResponse

@csrf_exempt
def my_view(request):
    return HttpResponse('Hello, World!')

在上面的示例代码中，我们定义了一个视图函数my_view，并给它添加了@csrf_exempt装饰器。这样一来，这个视图函数就不再受到CSRF保护的限制。

测试关闭CSRF保护

为了测试我们已经关闭了CSRF保护，我们可以编写一个简单的视图函数，用来测试CSRF攻击是否能够成功。示例代码如下：

from django.views.decorators.csrf import csrf_exempt
from django.http import HttpResponse

@csrf_exempt
def csrf_test(request):
    if request.method == 'POST':
        return HttpResponse('CSRF attack successful!')

    return HttpResponse('CSRF protection enabled.')

在上面的示例代码中，我们定义了一个名为csrf_test的视图函数，如果接收到POST请求，则返回CSRF attack successful!；否则返回CSRF protection enabled.。

为了手动进行CSRF攻击测试，我们可以使用工具比如Postman。首先发送一个GET请求获取CSRF token，然后将token加入到POST请求的header中，再次发送POST请求即可。