csrf原理及flask的處理方法
為什么需要CSRF？
Flask-WTF 表單保護你免受 CSRF 威脅，你不需要有任何擔心。盡管如此，如果你有不包含表單的視圖，那么它們仍需要保護。
例如，由 AJAX 發送的 POST 請求，然而它背后並沒有表單。在 Flask-WTF 0.9.0 以前的版本你無法獲得 CSRF 令牌。這是為什么我們要實現 CSRF。
CSRF攻擊的原理:
①用戶正常登錄A銀行網站,
②A網站返回cookie信息給用戶,瀏覽器保存cookie信息
③在A網站沒有退出登錄的情況下(或者說cookie信息沒過期), 登錄了惡意網站B
④惡意網站B,提前准備好轉賬表單或者其它請求 ,將其隱藏. 把提交到A網站的按鈕設置為一個"領取優惠券"的圖片鏈接.用戶 點擊鏈接
⑤在用戶主觀未知的情況下,訪問A網站,此時瀏覽器會自動攜帶cookie信息
⑥A網站識別到cookie信息,默認為是用戶本人做出的請求,根據請求做出相應的操作.
⑦用戶收到損失.
具體操作步驟：
根據 csrf_token 校驗原理，具體操作步驟有以下幾步：
1.后端生成 csrf_token 的值，在前端請求登錄或者注冊界面的時候將值傳給前端，傳給前端的方式可能有以下兩種：
在模板中的 From 表單中添加隱藏字段
將 csrf_token 使用 cookie 的方式傳給前端
2.在前端發起請求時，在表單或者在請求頭中帶上指定的 csrf_token
3.后端在接受到請求之后，取到前端發送過來的 csrf_token，與第1步生成的 csrf_token 的值進行校驗
4.如果校驗對 csrf_token 一致，則代表是正常的請求，否則可能是偽造請求，不予通過
而在 Flask 中，CSRFProtect 這個類專門只對指定 app 進行 csrf_token 校驗操作，所以開發者需要做以下幾件事情：
生成 csrf_token 的值
將 csrf_token 的值傳給前端瀏覽器
在前端請求時帶上 csrf_token 值
然后實現
處理方法：
后端書寫：
為了能夠讓所有的視圖函數受到 CSRF 保護，需要開啟 CsrfProtect 模塊:
from flask_wtf.csrf import CsrfProtect CsrfProtect(app)
像任何其它的 Flask 擴展一樣，你可以惰性加載它:
from flask_wtf.csrf import CsrfProtect csrf = CsrfProtect() def create_app(): app = Flask(__name__) csrf.init_app(app)
Note
需要為 CSRF 保護設置一個秘鑰。通常下，同 Flask 應用的 SECRET_KEY 是一樣的。
在表單添加保護操作：
如果模板中存在表單，不需要做任何事情。與之前一樣:
<form method="post" action="/"> {{ form.csrf_token }} </form>
但是如果模板中沒有表單，就需要一個 CSRF 令牌:
<form method="post" action="/"> <input type="hidden" name="csrf_token" value="{{ csrf_token() }}" /> </form>
自定義錯誤相應和關閉保護：
無論何時未通過 CSRF 驗證，都會返回 400 響應。可以自定義這個錯誤響應:
@csrf.error_handler def csrf_error(reason): return render_template('csrf_error.html', reason=reason), 400
建議對所有視圖啟用 CSRF 保護。也提供了某些視圖函數不需要保護的裝飾器:
@csrf.exempt @app.route('/foo', methods=('GET', 'POST')) def my_handler(): # ... return 'ok'
默認情況下也可以在所有的視圖中禁用 CSRF 保護，通過設置 WTF_CSRF_CHECK_DEFAULT 為 False，僅僅當需要的時候選擇調用 csrf.protect()。這也能夠在檢查 CSRF 令牌前做一些預先處理:
@app.before_request def check_csrf(): if not is_oauth(request): csrf.protect()
Ajax提交數據：
在 meta 標簽中渲染 CSRF 令牌:
<meta name="csrf-token" content="{{ csrf_token() }}">
在 script 標簽中渲染同樣可行:
<script type="text/javascript"> var csrftoken = "{{ csrf_token() }}" </script>
下面的例子采用了在 meta標簽渲染的方式， 在 script 中渲染會更簡單，無須擔心沒有相應的例子。
無論何時，發送 AJAX POST 請求，為其添加 X-CSRFToken 頭:
var csrftoken = $(‘meta[name=csrf-token]').attr(‘content') KaTeX parse error: Expected '}', got 'EOF' at end of input: …|OPTIONS|TRACE)/i.test(settings.type) && !this.crossDomain) { xhr.setRequestHeader(“X-CSRFToken”, csrftoken) } } })
或者這么寫ajax：
在提交請求時，需要在請求頭中添加 X-CSRFToken 的鍵值對：
$.ajax({ ... headers: { "X-CSRFToken": getCookie("csrf_token") }, ... })
故障排除
當定義表單的時候，如果犯了這個錯誤 : 從 wtforms 中導入 Form 而不是從 flask.ext.wtf 中導入，CSRF 保護的大部分功能都能工作(除了 form.validate_on_submit())，但是 CSRF 保護將會發生異常。在提交表單的時候，將會得到 Bad Request/CSRF token missing or incorrect 錯誤。這個錯誤的出現就是因為導入錯誤，不是配置問題。