Flask框架 CSRF 保護(hù)實(shí)現(xiàn)方法詳解
本文實(shí)例講述了Flask框架 CSRF 保護(hù)實(shí)現(xiàn)方法。分享給大家供大家參考,具體如下:
Flask CSRF 保護(hù)
為什么需要 CSRF?
Flask-WTF 表單保護(hù)你免受 CSRF 威脅,你不需要有任何擔(dān)心。盡管如此,如果你有不包含表單的視圖,那么它們?nèi)孕枰Wo(hù)。
例如,由 AJAX 發(fā)送的 POST 請(qǐng)求,然而它背后并沒有表單。在 Flask-WTF 0.9.0 以前的版本你無(wú)法獲得 CSRF 令牌。這是為什么我們要實(shí)現(xiàn) CSRF。
具體操作步驟
根據(jù) csrf_token 校驗(yàn)原理,具體操作步驟有以下幾步:
1.后端生成 csrf_token 的值,在前端請(qǐng)求登錄或者注冊(cè)界面的時(shí)候?qū)⒅祩鹘o前端,傳給前端的方式可能有以下兩種:
在模板中的 From 表單中添加隱藏字段
將 csrf_token 使用 cookie 的方式傳給前端
2.在前端發(fā)起請(qǐng)求時(shí),在表單或者在請(qǐng)求頭中帶上指定的 csrf_token
3.后端在接受到請(qǐng)求之后,取到前端發(fā)送過(guò)來(lái)的 csrf_token,與第1步生成的 csrf_token 的值進(jìn)行校驗(yàn)
4.如果校驗(yàn)對(duì) csrf_token 一致,則代表是正常的請(qǐng)求,否則可能是偽造請(qǐng)求,不予通過(guò)
而在 Flask 中,CSRFProtect 這個(gè)類專門只對(duì)指定 app 進(jìn)行 csrf_token 校驗(yàn)操作,所以開發(fā)者需要做以下幾件事情:
生成 csrf_token 的值
將 csrf_token 的值傳給前端瀏覽器
在前端請(qǐng)求時(shí)帶上 csrf_token 值
實(shí)現(xiàn)
后端書寫
為了能夠讓所有的視圖函數(shù)受到 CSRF 保護(hù),你需要開啟 CsrfProtect 模塊:
from flask_wtf.csrf import CsrfProtect CsrfProtect(app)
像任何其它的 Flask 擴(kuò)展一樣,你可以惰性加載它:
from flask_wtf.csrf import CsrfProtect csrf = CsrfProtect() def create_app(): app = Flask(__name__) csrf.init_app(app)
Note
你需要為 CSRF 保護(hù)設(shè)置一個(gè)秘鑰。通常下,同 Flask 應(yīng)用的 SECRET_KEY 是一樣的。
在表單添加保護(hù)
如果模板中存在表單,你不需要做任何事情。與之前一樣:
<form method="post" action="/"> {{ form.csrf_token }} </form>
但是如果模板中沒有表單,你需要一個(gè) CSRF 令牌:
<form method="post" action="/"> <input type="hidden" name="csrf_token" value="{{ csrf_token() }}" /> </form>
自定義錯(cuò)誤響應(yīng)和關(guān)閉保護(hù)
無(wú)論何時(shí)未通過(guò) CSRF 驗(yàn)證,都會(huì)返回 400 響應(yīng)。你可以自定義這個(gè)錯(cuò)誤響應(yīng):
@csrf.error_handler def csrf_error(reason): return render_template('csrf_error.html', reason=reason), 400
我們強(qiáng)烈建議你對(duì)所有視圖啟用 CSRF 保護(hù)。但也提供了某些視圖函數(shù)不需要保護(hù)的裝飾器:
@csrf.exempt @app.route('/foo', methods=('GET', 'POST')) def my_handler(): # ... return 'ok'
默認(rèn)情況下你也可以在所有的視圖中禁用 CSRF 保護(hù),通過(guò)設(shè)置 WTF_CSRF_CHECK_DEFAULT 為 False,僅僅當(dāng)你需要的時(shí)候選擇調(diào)用 csrf.protect()。這也能夠讓你在檢查 CSRF 令牌前做一些預(yù)先處理:
@app.before_request def check_csrf(): if not is_oauth(request): csrf.protect()
ajax提交數(shù)據(jù)
不需要表單,通過(guò) AJAX 發(fā)送 POST 請(qǐng)求成為可能。Flask0.9.0 版本后這個(gè)功能變成可用的。
- 假設(shè)你已經(jīng)使用了 CsrfProtect(app),你可以通過(guò) {{ csrf_token() }} 獲取 CSRF
令牌。這個(gè)方法在每個(gè)模板中都可以使用,你并不需要擔(dān)心在沒有表單時(shí)如何渲染 CSRF 令牌字段。
我們推薦的方式是在 meta 標(biāo)簽中渲染 CSRF 令牌:
<meta name="csrf-token" content="{{ csrf_token() }}">
在 script 標(biāo)簽中渲染同樣可行:
<script type="text/javascript"> var csrftoken = "{{ csrf_token() }}" </script>
下面的例子采用了在 meta標(biāo)簽渲染的方式, 在 script 中渲染會(huì)更簡(jiǎn)單,你無(wú)須擔(dān)心沒有相應(yīng)的例子。
無(wú)論何時(shí)你發(fā)送 AJAX POST 請(qǐng)求,為其添加 X-CSRFToken 頭:
var csrftoken = $(‘meta[name=csrf-token]').attr(‘content') KaTeX parse error: Expected '}', got 'EOF' at end of input: …|OPTIONS|TRACE)/i.test(settings.type) && !this.crossDomain) { xhr.setRequestHeader(“X-CSRFToken”, csrftoken) } } })
或者這么寫ajax:
在提交請(qǐng)求時(shí),需要在請(qǐng)求頭中添加 X-CSRFToken 的鍵值對(duì)
$.ajax({ ... headers: { "X-CSRFToken": getCookie("csrf_token") }, ... })
故障排除
當(dāng)你定義你的表單的時(shí)候,如果犯了這個(gè)錯(cuò)誤 : 從 wtforms 中導(dǎo)入 Form 而不是從 flask.ext.wtf 中導(dǎo)入,CSRF 保護(hù)的大部分功能都能工作(除了 form.validate_on_submit()),但是 CSRF 保護(hù)將會(huì)發(fā)生異常。在提交表單的時(shí)候,你將會(huì)得到 Bad Request/CSRF token missing or incorrect 錯(cuò)誤。這個(gè)錯(cuò)誤的出現(xiàn)就是因?yàn)槟愕膶?dǎo)入錯(cuò)誤,而不是你的配置問題。
希望本文所述對(duì)大家基于flask框架的Python程序設(shè)計(jì)有所幫助。
- Flask模擬實(shí)現(xiàn)CSRF攻擊的方法
- Python的Flask框架中@app.route的用法教程
- Python Web框架Flask下網(wǎng)站開發(fā)入門實(shí)例
- 在Linux上安裝Python的Flask框架和創(chuàng)建第一個(gè)app實(shí)例的教程
- 30分鐘搭建Python的Flask框架并在上面編寫第一個(gè)應(yīng)用
- Flask入門教程實(shí)例:搭建一個(gè)靜態(tài)博客
- 使用Python的Flask框架來(lái)搭建第一個(gè)Web應(yīng)用程序
- Python的Flask框架中的Jinja2模板引擎學(xué)習(xí)教程
- Python使用Flask框架同時(shí)上傳多個(gè)文件的方法
- Python的Flask框架的簡(jiǎn)介和安裝方法
- Python的Flask框架中使用Flask-Migrate擴(kuò)展遷移數(shù)據(jù)庫(kù)的教程
相關(guān)文章
Python實(shí)現(xiàn)Word表格轉(zhuǎn)成Excel表格的示例代碼
這篇文章主要介紹了Python實(shí)現(xiàn)Word表格轉(zhuǎn)成Excel表格的示例代碼,文中通過(guò)示例代碼介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2020-04-04Python基于pywinauto實(shí)現(xiàn)的自動(dòng)化采集任務(wù)
這篇文章主要介紹了Python基于pywinauto實(shí)現(xiàn)的自動(dòng)化采集任務(wù),模擬了輸入單詞, 復(fù)制例句, 獲取例句, 清空剪切板, 然后重復(fù)這個(gè)操作,需要的朋友可以參考下2023-04-04Python中__repr__和__str__區(qū)別詳解
這篇文章主要介紹了Python中__repr__和__str__區(qū)別詳解,文中通過(guò)示例代碼介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2019-11-11Python中實(shí)現(xiàn)一行拆多行和多行并一行的示例代碼
這篇文章主要介紹了Python中實(shí)現(xiàn)一行拆多行和多行并一行的示例代碼,文中通過(guò)示例代碼介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2020-09-09python檢查目錄文件權(quán)限并修改目錄文件權(quán)限的操作
這篇文章主要介紹了python檢查目錄文件權(quán)限并修改目錄文件權(quán)限的操作,具有很好的參考價(jià)值,希望對(duì)大家有所幫助。一起跟隨小編過(guò)來(lái)看看吧2020-03-03詳解Python中 __get__和__getattr__和__getattribute__的區(qū)別
__get__、__getattr__、__getattribute都是訪問屬性的方法,但作用不太相同,這里我們就來(lái)詳解Python中 __get__和__getattr__和__getattribute__的區(qū)別:2016-06-06Pycharm下載pyinstaller報(bào)錯(cuò):You?should?consider?upgrading?via
這篇文章主要給大家介紹了關(guān)于Pycharm下載pyinstaller報(bào)錯(cuò):You?should?consider?upgrading?via?the?'python?-m?pip?install?--upgrade?pip'?command的解決方法,需要的朋友可以參考下2022-02-02