☆Django☆---中间件 csrf跨站请求伪造 auth模块 settings功能插拔式源码

Posted 2022-12-03 lddragon

Django中间件

django生命周期图

 中间件:

　　概念: Django中间件就类似于 django的保安  

　　　　  请求 的时候需要先经过中间件才能到达django后端(urls, views)

　　　　  响应 走的时候也需要经过中间件才能到达web服务网关接口

　　django默认的七个中间件

MIDDLEWARE = [
                                ‘django.middleware.security.SecurityMiddleware‘,
                                ‘django.contrib.sessions.middleware.SessionMiddleware‘,
                                ‘django.middleware.common.CommonMiddleware‘,
                                ‘django.middleware.csrf.CsrfViewMiddleware‘,
                                ‘django.contrib.auth.middleware.AuthenticationMiddleware‘,
                                ‘django.contrib.messages.middleware.MessageMiddleware‘,
                                ‘django.middleware.clickjacking.XFrameOptionsMiddleware‘,
                            ]

 

 　  问:django中间件都可以用来干什么?  ***

　　1. 网站全局的身份校验, 访问频率限制,权限校验.....

　　2.django的中间件是web框架中 做的最好的

　　Django中间件中有五个用户可以自定义的方法

　 　process_response　　process_request　　process_view　　process_exception　　process_templates

　　如何自定义?

　　①首先需要在 app 同级目录下 创建你自己的 middleware 在里面创建你的py文件

　　②导入模块  from django.utils.deprecation import MiddlewareMixin

　　③定义自己的类 需要继承 Middleware 重写 上面五种方法

　　④在settings配置文件中的MIDDLEWARE 字符串点的方式 添加 例如: ‘文件夹.py文件.类名‘

　　process_request(request) 方法

　　　　规律: 1.请求来的时候 会经过每一个中间件里面的 process_request方法(从上往下)

　　　　　　  2.如果方法里面直接返回了HttpResponse对象 那么会不在往下执行 放回同级 执行process_response方法 往回走

　　　　　　  3.方法 必须要传入request参数 也就是说 基于该特点 就可以做访问频率 身份校验,权限的校验

 

 

 

 　　　process_response(request, response) 方法

 　　　　　规律:1.必须将参数 reponse返回 因为这个参数就是 后端返回给前端的数据

　　　　　　　  2.响应走的时候 会依次经过每一个中间件里面的 process_response方法(从下往上)

 　　　

 

 

 　　　了解方法:

　　　 process_view(request, view_func,view_args, view_kwargs)   

　　　 在路由匹配成功后 执行函数触发之前触发

　　　 

 

 

 　　　view_func 就是 url匹配对应的 视图函数 view_args 和 view_kwargs 都是参数

　　　process_exception( request,exception)

　　　当你的视图函数报错的时候回自动触发

　　　

 

 

 　　   process_template_response(request, response)

　　　当你放回的HttpResponse对象中必须包含 render 属性 才会触发

　　　

 

 

 　　  总结: 书写中间件的时候 只要形参中有response 就把它返回 他是 前端需要的数据

csrf跨站请求伪造

 　　  引入:钓鱼网站: 通过制作一个跟正儿八经的网站一模一样的界面 骗取用户输入信息 修改数据去正儿八经的网站提交

　　   内部原理: 在让用户输入给对方转账的那个input框上做手脚 不给 这个input 设置name 和属性   在内部隐藏一个写好的name 和 value属性input框 这个value就是 钓鱼网站受益人的账号  form 表单数据提交 改为正儿八经的 

　　　防止钓鱼网站的思路
　　　　　　网站会给返回给用户的form表单页面 偷偷塞一个随机字符串
　　　　　　请求到来的时候 会先比对随机字符串是否一致 如果不一致 直接拒绝(403)

　　　　　　该随机字符串有以下特点
　　　　　　1.同一个浏览器每一次访问都不一样
　　　　　　2.不同浏览器绝对不会重复

-------------------------------------------------------------------------------------------------------------------------------------------

 　　1.form表单发送post请求的时候 需要你仅仅做的就是写一句话 % csrf_token %

　　 

 

 

 　　这样我们就可以吧 中间件的有个注释打开了    他这个就是来校验你有没有 一个 csrfmiddlewaretoken的东西 没有直接给你403

　　

 

 

 　   2.ajsx发送post请求的时候 如和避免csrf校验

 　　1.先在页面上写% csrf_token %,  利用标签name 属性查找器 查找  获取到该input键值信息

　　

 

 

 　　

 

 

　　2.直接书写‘ csrf_token ‘

　　

 

 

 　  3.将获取随机键值对的方法写到一个js文件中 之后只需要导入文件即可  

　　在static文件中创建 js文件 和 py文件 把下面代码写入 之后导入就行

function getCookie(name) 
    var cookieValue = null;
    if (document.cookie && document.cookie !== ‘‘) 
        var cookies = document.cookie.split(‘;‘);
        for (var i = 0; i < cookies.length; i++) 
            var cookie = jQuery.trim(cookies[i]);
            // Does this cookie string begin with the name we want?
            if (cookie.substring(0, name.length + 1) === (name + ‘=‘)) 
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            
        
    
    return cookieValue;

var csrftoken = getCookie(‘csrftoken‘);


function csrfSafeMethod(method) 
  // these HTTP methods do not require CSRF protection
  return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));


$.ajaxSetup(
  beforeSend: function (xhr, settings) 
    if (!csrfSafeMethod(settings.type) && !this.crossDomain) 
      xhr.setRequestHeader("X-CSRFToken", csrftoken);
    
  
);

 

　　之后 该怎么传就怎么传就行了

1.当你网站全局都需要校验csrf的时候 有几个不需要校验该如何处理？

2.当你网站全局不校验csrf的时候 有几个需要校验又该如何处理？

from django.views.decorators.csrf import csrf_exempt,csrf_protect

 

　　csrf_exempt 不校验 
   csrf_protect 只校验

 

 　　cbv装饰

from django.utils.decorators import method_decorator

 

 

这两个装饰器在给CBV装饰的时候 有一定的区别
            如果是csrf_protect 那么有三种方式
                # 第一种方式
                # @method_decorator(csrf_protect,name=‘post‘)  # 有效的
                class MyView(View):
                    # 第三种方式
                    # @method_decorator(csrf_protect)
                    def dispatch(self, request, *args, **kwargs):
                        res = super().dispatch(request, *args, **kwargs)
                        return res

                    def get(self,request):
                        return HttpResponse(‘get‘)
                    # 第二种方式
                    # @method_decorator(csrf_protect)  # 有效的
                    def post(self,request):
                        return HttpResponse(‘post‘)

如果是csrf_exempt 只有两种(只能给dispatch装)   特例
            @method_decorator(csrf_exempt,name=‘dispatch‘)  # 第二种可以不校验的方式
            class MyView(View):
                # @method_decorator(csrf_exempt)  # 第一种可以不校验的方式
                def dispatch(self, request, *args, **kwargs):
                    res = super().dispatch(request, *args, **kwargs)
                    return res

                def get(self,request):
                    return HttpResponse(‘get‘)

                def post(self,request):
                    return HttpResponse(‘post‘)

装饰器中只有csrf_exempt是特例,其他的装饰器在给CBV装饰的时候 都可以有三种方式

 

def login_auth(func):
    @wraps(func)
    def inner(request,*args,**kwargs):
        # 从request中获取cookie
        # print(request.path)
        # print(request.get_full_path())
        target_url = request.get_full_path()
        if request.COOKIES.get(‘name‘):
            res = func(request,*args,**kwargs)
            return res
        else:
            return redirect(‘/lg/?next=%s‘%target_url)
    return inner

cookies装饰器

auth模块

　　　引入： （如果你想用auth模块 那么就用全套） auth模块是跟用户相关的功能模块

　　　①执行数据库迁移命令后 会产生很多的表 其中的auth_uesr 就是一张用户相关的表格。

　　　②添加数据 createsuperuser 创建超级用户 这个超级用户可以拥有登录django admin后台的权限

　　　

 

 　　   设置邮箱 用户名 和 密码 auth_user 表中就会把你的数据记录下来 且以可登录 admin

auth模块功能

　　模块的导入

from django.contrib import auth

 

　　直接子啊视图函数使用 

　　查询用户 

　　user_obj = auth.authenticate(username=‘xxx‘, password=‘xxx‘)  

　　

　　记录用户状态

　　auth.login(request,user_obj)