请选择 进入手机版 | 继续访问电脑版
MSIPO技术圈 首页 IT技术 查看内容

Django框架-12

2023-07-13

中间件

Django中的中间件是一个轻量级、底层的插件系统,可以介入Django的请求和响应处理过程,修改Django的输入或输出。中间件的设计为开发者提供了一种无侵入式的开发方式,增强了Django框架的健壮性。

我们可以使用中间件,在Django处理视图的不同阶段对输入或输出进行干预。

中间件的定义方式

定义一个中间件工厂函数,然后返回一个可以被调用的中间件。(闭包 知识)
中间件工厂函数需要接收一个可以调用的get_response对象。

返回的中间件也是一个可以被调用的对象,并且像视图一样需要接收一个request对象参数,返回一个response对象。

def simple_middleware(get_response):
# 此处编写的代码仅在Django第一次配置和初始化的时候执行一次。
def middleware(request):
# 此处编写的代码会在每个请求处理视图前被调用。
response = get_response(request)
# 此处编写的代码会在每个请求处理视图之后被调用。
return response
return middleware

例如,在users应用中新建一个middleware.py文件,

def my_middleware(get_response):
print('init 被调用')
def middleware(request):
print('before request 被调用')
response = get_response(request)
print('after response 被调用')
return response
return middleware

定义好中间件后,需要在settings.py 文件中添加注册中间件

MIDDLEWARE = [
'django.middleware.security.SecurityMiddleware',
'django.contrib.sessions.middleware.SessionMiddleware',
'django.middleware.common.CommonMiddleware',
# 'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'django.middleware.clickjacking.XFrameOptionsMiddleware',
'users.middleware.my_middleware', # 添加中间件
]

定义一个视图进行测试

def demo_view(request):
print('view 视图被调用')
return HttpResponse('OK')

记得配置路由

多个中间件的执行顺序

在请求视图被处理前,中间件由上至下依次执行
在请求视图被处理后,中间件由下至上依次执行

定义两个中间件

def my_middleware1(get_response):
print('init1 被调用')
def middleware(request):
print('before request 1 被调用')
response = get_response(request)
print('after response 1 被调用')
return response
return middleware

def my_middleware2(get_response):
print('init2 被调用')
def middleware(request):
print('before request 2 被调用')
response = get_response(request)
print('after response 2 被调用')
return response
return middleware

注册添加两个中间件

MIDDLEWARE = [
'django.middleware.security.SecurityMiddleware',
'django.contrib.sessions.middleware.SessionMiddleware',
'django.middleware.common.CommonMiddleware',
# 'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'django.middleware.clickjacking.XFrameOptionsMiddleware',
'users.middleware.my_middleware', # 添加
'users.middleware.my_middleware2', # 添加
]

CSRF跨站请求伪造

1、CSRF介绍

在前面课程中使用Post请求的时候,出现403错误,当时处理方式是注释掉中间件的csrf这行。这节课我们将详细讲 解什么是csrf,csrf的功能以及作用。

CSRF, Cross Site Request Forgery, 跨站点伪造请求。攻击者盗用了你的身份,以你的名义发送恶意请求,对服务器来 说这个请求是完全合法的,但是却完成了攻击者所期望的一个操作,比如以你的名义发送邮件、发消息,盗取你的 账号,添加系统管理员,甚至于购买商品、虚拟货币转账等。造成个人信息泄露,与财产安全。

2、csrf攻击过程

1.用户打开浏览器,访问A网站,输入用户名和密码请求登录网站A

2.在用户信息通过验证后,网站A产生Cookie 信息并返回给浏览器,此时用户登录网站A成功,可以正常发送请求到网站A;

3.用户未退出网站A之前,在同一浏 览器中,打开另外一个网站B;

4.网站B接收到用户请求后,返回一些攻击性代码,并发出一个请求要求访问第三方站点A;

5.浏览器在接收到这些攻击性代码后,根据网站B的请求,在用户不知情的情况下携带Cookie信息,向
网站A发出请 求。网站A并不知道该请求其实是由B发起的,所以会根据用户C的Cookie信息以用户的权
限处理该请求,导致来自 网站B的恶意代码被执行。

3、防御CSRF攻击

目前防御 CSRF 攻击主要有三种策略:验证 HTTP Referer 字段;在请求地址中添加 token 并 验证;在 HTTP 头中自定义属性并验证。

Django 防御csrf攻击: Django提供了csrf中间件用于防止CSRF攻击,而且是默认开启的。

MIDDLEWARE_CLASSES 中的csrf中间件,csrf中间件只对post请求有效,get请求无效。

1、django 第一次响应来自某个客户端的请求时,会在服务器端随机生成一个 token,把这个 token 放在 cookie 里。然后每次 POST 请求都会带上这个 token

2、在返回的 HTTP 响应的 cookie 里,django 会为你添加一个 csrftoken 字段,其值为一个自动生成的 token

3、在所有的 POST 表单时,必须包含一个 csrfmiddlewaretoken 字段,只需要在表单中添加一个{%csrf_token %}标签,django会自动在模板中生成一个隐藏的表单域,带有后端响应页面时塞进来的随机生成的token值。

4、在处理 POST 请求之前,django 会验证这个请求的 cookie 里的 csrftoken 字段的值和提交的表单里的 csrfmiddlewaretoken 字段的值是否一样。如果一样,则表明这是一个合法的请求,否则,这个请求可能是来自于 别人的 csrf 攻击,返回 403 Forbidden.

5、在所有 ajax POST 请求里,添加一个 X-CSRFTOKEN header,其值为 cookie 里的 csrftoken 的值开启了csrf中间件之后,在模板中的form表单添加一个{% csrf_token %}。 如果是用form表单提交的话直接在表单 中添加 {% csrf_token %}。

<html lang="en">
<head>
<meta charset="UTF-8">
<title>注册表单</title>
</head>
<body>
{#请求方式:post请求 请求路径:/viewdemo/register/ #}
<form method="post" action="/users/login/">
{% csrf_token %}
用户名:<input type="text" name="uname"/><br>
密码:<input type="password" name="upwd"/><br>
<input type="submit" value="登录"/>
</form>
</body>
</html>

如果是用ajax提交的话,需要携带一个键为 csrfmiddlewaretoken 值为 {% csrf_token %} 的参数
示例:
如果在模板中写的 post 提交的话 可以在参数中携带这个参数: csrfmiddlewaretoken: '{{csrf_token }}

$.post('/blog/register_user/', {'uname': username,
'upwd':upwd,csrfmiddlewaretoken:
'{{ csrf_token }}'}, function (data) {
//注册成功 加载成功页面,或者重定向到其他页面
//window.href = 'http://www.baidu.com'
$('html').html(data)
}

在js文件中,可以先获取前端页面中由{% csrf_token %} 生成的隐藏域的input 标签的value值

<input name="csrfmiddlewaretoken"
value="lt5VtILNu1q44aVfQEFP2NgiUEtere0bZNnoNVSNjjX1AsfRDE9bvSn7ZmbeYL7Z"
type="hidden">
var csrf = $("input[name='csrfmiddlewaretoken']").val();
$.post('/blog/check_name/', {'uname': username,csrfmiddlewaretoken: csrf},
function (data) {
}

相关阅读

热门文章

    手机版|MSIPO技术圈 皖ICP备19022944号-2

    Copyright © 2024, msipo.com

    返回顶部