cookie和session-csrf防护

Posted 2020-11-04 snailon

cookie概念: 是由服务器生成，保存在浏览器端的一小段文本信息。
cookie特点:
1) cookie是以键值对进行存储的。
2) 浏览器访问网站时，会将本地保存的跟网站相关的所有cookie发送给网站的服务器。
3) cookie是基于域名安全的。
4) cookie是有过期时间的，默认关闭浏览器之后过期。
设置cookie: set_cookie(key, value, max_age=‘过期时间‘)。
读取cookie: request.COOKIES(保存浏览器发过来的cookie信息)
删除cookie. delete_cookie(key)

session概念: 保存在服务器端的文本信息，默认保存在服务器端的django_session表中。
sesssion特点:
1) session也是以键值对进行存储的。
2) session依赖于cookie, session信息对应的唯一标识默认保存在sessionidcookie中。
3) session是有过期时间的，默认两周之后过期。

设置session: request.session[‘键‘]=‘值‘
获取session: 变量 = request.session[‘键‘]
删除session: request.session.flush()
设置session的过期时间: request.session.set_expire(‘秒数‘)
扩展:
1) django_session表中是由INSTALLED_APPS中的‘django.contrib.sessions‘应用生成的。
2) session的存储需要借助于MIDDLEWARE_CLASSES中的
‘django.contrib.sessions.middleware.SessionMiddleware‘中间件。
3) 可以通过SESSION_ENGINE配置session存储在什么地方。

csrf跨站请求伪造:
如果用户登录了网站,并且未退出, 点击了伪造链接，浏览器就会以登录用户的身份去访问A网站，可能会造成密码的的修改和财产的损失等，这就是csrf请求伪造(跨站请求伪造)。

Django框架针对post提交数据具有csrf的防护验证，如果需要使用Django的csrf防护，
需要按以下步骤:
1) 打开Django配置文件中的csrf防护中间件。

2）在使用表单post提交时，需要在表单中加上{ % csrf_token % }标签。

如果是ajax post请时，也需要在页面上加上{ % csrf_token % }标签。

防御原理:
1) 访问页面时，django会把{ % csrf_token % }标签替换为一个名为csrfmiddlewaretoken的隐藏域。
2）同时django网站会让浏览器保存一个名为csrftoken的cookie信息。
3）在进行表单提交或者ajax post提交时，csrfmiddlewaretoken隐藏域的值和crsftoken cookie的值
都会被提交给服务器，django框架中的csrf防护中间件会对这两个值进行对比，如果一致，则csrf验
正通过，可以进行后续操作，否则出现403错误。