【Django网络安全】如何正确防护CSRF跨站点请求伪造_drf csrf

在Django REST framework中使用CSRF防护，首先确保django.middleware.csrf.CsrfViewMiddleware已经添加到你的MIDDLEWARE设置中。然后，对于使用@api_view或APIView的视图，你可以通过以下方式添加CSRF支持：

1. 确保你的Django项目已经包含了中间件django.middleware.csrf.CsrfViewMiddleware。
2. 对于使用TemplateResponse的视图，确保在你的模板中包含了CSRF token表单。通常，Django的模板中自动包含了这个，但是如果你使用的是不带模板的API，你可能需要手动添加。
3. 对于AJAX请求，确保在发送AJAX请求时携带CSRF cookie和header。可以通过在AJAX请求中设置X-CSRFToken头部来实现，值应该是CSRF cookie的值。

以下是一个简单的示例，展示了如何在Django REST framework中使用CSRF token：

from django.utils.decorators import method_decorator
from django.views.decorators.csrf import csrf_exempt, csrf_protect
from rest_framework.views import APIView
from rest_framework.response import Response
 
@method_decorator(csrf_protect)
class MySecureView(APIView):
    def post(self, request, *args, **kwargs):
        # 这里的代码会受到CSRF保护
        return Response({'message': 'Success'})
 
# 如果你想要为特定的视图方法关闭CSRF保护，可以使用csrf_exempt装饰器
@method_decorator(csrf_exempt, name='dispatch')
class MyInsecureView(APIView):
    def post(self, request, *args, **kwargs):
        # 这里的代码不会受到CSRF保护
        return Response({'message': 'Success'})

在上面的代码中，MySecureView类使用了csrf_protect装饰器，这意味着所有通过这个类创建的视图都会强制执行CSRF保护。如果你想要关闭这个保护，可以使用csrf_exempt装饰器。

请注意，在实际部署时应当确保你的应用配置了SSL/TLS来保护数据传输的安全性，因为CSRF保护只能防止非授权的网站伪造用户的请求，而不能防止中间人攻击。