Django csrf検証問題の実現

csrfの基本的な理解について
CSRF（Cross-site request forgery）は駅をまたいで偽造を要求して、通常はCSRFあるいはXSRFと略されて、ウェブサイトに対する悪意の利用です。信頼されたユーザからの要求を偽装することによって信頼されたウェブサイトを利用する。
簡単に言えば攻撃者があなたの身分を盗用して、あなたの名義で悪意の要求を送ります。例えば、ユーザーはアカウントのパスワードを通じてウェブサイトAにアクセスし、Aサイトはいくつかのクッキー情報をブラウザに保存して、ユーザの状態行動追跡を実現します。この時にユーザーはまたBサイトを開けて、Bウェブサイトはいくつかの悪意のコードを返して、そしてAに訪問することを求めます。このようにブラウザはクッキーを携帯して、ユーザーの権限でAサイトにアクセスし、コードを実行します。サーバーから見ると、これらは正常なユーザ操作です。
Djangoが提供するCSRF保護機構
djangoは、あるクライアントからの要求に初めて応答すると、サーバ端でランダムにtokenを生成し、このtokenをクッキーに入れる。そして毎回POSTのリクエストにこのtokenを持参します。
CSRFによる攻撃を避けることができます。
1.戻ってきたHTTP応答のクッキーには、djangoが自動的に生成されるtokenフィールドのcsrftokenフィールドを追加します。
2.すべてのPOSTフォームにはcsrfmiddlewaretokenフィールドが含まれていなければなりません。（テンプレートのリガにあるだけで、djangoは自動的に生成してくれます。以下を参照してください。）
3.POST要求を処理する前に、djangoはこの要求のcookieの中のcsrftokenフィールドの値と提出したフォームの中のcsrfmiddlewaretokenフィールドの値が同じかどうかを検証します。もし同じならば、この要求は正当な要求であることを示し、そうでなければ、他の人からのcsrf攻撃であり、403 Forbiddenに戻る。
4.すべてのajax POST要求に、cookie内のcsrftokenの値としてX-CoSRFTOKEN headerを追加します。
DjangoではCSRF保護はどうやって使いますか？

まず、基本的な原則は、GETは副作用がないように要求します。つまり、GET要求を処理するコードがリソースに対するアクセスが必ず「読み取り専用」であるということです。

を有効にするにはdjango.middleware.csrf.cfrf View Middlewareの中間部品

を有効にします。

再度、すべてのPOSTフォーム要素に「%csrf_」を追加する必要があります。token%が

です。

レンダリングモジュールでは、Request Contectを使用します。Request Contextはcsrf_を処理します。Tokenというのは  自動的にフォームにcsrfmiddlewaretokenというinput

を追加します。
Djangoでcsrfに対する防犯
Djangoにはcsrf攻撃を防ぐ機能が備わっていますが、初心者にはどうやって使うか分からないので、意外な迷惑をかけてしまうかもしれません。
例えば、正常なフォームの提出操作は常にエラーを報告します。
DjangoでGET要求はcsrf認証を必要とせず、post要求は正しい認証が必要で、正しい戻り結果を得ることができる。
まずフォームに提出するcsrf検証問題を処理します。普通はPOSTフォームに「%csrf_」を入れます。token%

<form method="POST" action="#">
{% csrf_token %}
  <input name='password' value='    '>
</form>

この言葉を入れたら、もう一度ポストカードを提出すれば大丈夫です。
または別の考え方です。csrfを無効にします。 
でも、このように持ってくるかもしれない危害はあなた自身がよく考えなければなりません。
グローバル無効化：settingsファイルの中にcsrfに関する中間件があります。直接コメントしてください。
対する無効化：フォーム提出の対応するビュー関数に装飾器@csrf_を追加します。exempt
―――――――――――――――――――――――――――――――
{%csrf_token%は実際にテンプレート文法で、プロジェクトのtoken値をフロントページのフォームに書き込みます。この値はdjangoプロジェクトを作成する時に自動的に生成され、settingで見ることができます。
――――――――――――C
次に、Ajax呼び出し時の処理を見ます。
jqueryのajaxまたはpostを使う前にjsコードを入れてもいいです。

jQuery(document).ajaxSend(function(event, xhr, settings) {
  function getCookie(name) {
    var cookieValue = null;
    if (document.cookie && document.cookie != '') {
      var cookies = document.cookie.split(';');
      for (var i = 0; i < cookies.length; i++) {
        var cookie = jQuery.trim(cookies[i]);
        // Does this cookie string begin with the name we want?
        if (cookie.substring(0, name.length + 1) == (name + '=')) {
          cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
          break;
        }
      }
    }
    return cookieValue;
  }
  function sameOrigin(url) {
    // url could be relative or scheme relative or absolute
    var host = document.location.host; // host + port
    var protocol = document.location.protocol;
    var sr_origin = '//' + host;
    var origin = protocol + sr_origin;
    // Allow absolute or scheme relative URLs to same origin
    return (url == origin || url.slice(0, origin.length + 1) == origin + '/') ||
      (url == sr_origin || url.slice(0, sr_origin.length + 1) == sr_origin + '/') ||
      // or any other URL that isn't scheme relative or absolute i.e relative.
      !(/^(\/\/|http:|https:).*/.test(url));
  }
  function safeMethod(method) {
    return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
  }

  if (!safeMethod(settings.type) && sameOrigin(settings.url)) {
    xhr.setRequestHeader("X-CSRFToken", getCookie('csrftoken'));
  }
});

または直接テンプレートファイルに書き込みます。

$.ajaxSetup({
  data: {csrfmiddlewaretoken: '{{ csrf_token }}' },
});

以上が本文の全部です。皆さんの勉強に役に立つように、私たちを応援してください。