怎么在Flask框架中實(shí)現(xiàn)CSRF 保護(hù)？針對(duì)這個(gè)問(wèn)題，這篇文章詳細(xì)介紹了相對(duì)應(yīng)的分析和解答，希望可以幫助更多想解決這個(gè)問(wèn)題的小伙伴找到更簡(jiǎn)單易行的方法。

成都創(chuàng)新互聯(lián)專注于扎蘭屯企業(yè)網(wǎng)站建設(shè),成都響應(yīng)式網(wǎng)站建設(shè)公司,商城網(wǎng)站建設(shè)。扎蘭屯網(wǎng)站建設(shè)公司,為扎蘭屯等地區(qū)提供建站服務(wù)。全流程按需開(kāi)發(fā)，專業(yè)設(shè)計(jì)，全程項(xiàng)目跟蹤，成都創(chuàng)新互聯(lián)專業(yè)和態(tài)度為您提供的服務(wù)

為什么需要 CSRF？

Flask-WTF 表單保護(hù)你免受 CSRF 威脅，你不需要有任何擔(dān)心。盡管如此，如果你有不包含表單的視圖，那么它們?nèi)孕枰Ｗo(hù)。

例如，由 AJAX 發(fā)送的 POST 請(qǐng)求，然而它背后并沒(méi)有表單。在 Flask-WTF 0.9.0 以前的版本你無(wú)法獲得 CSRF 令牌。這是為什么我們要實(shí)現(xiàn) CSRF。

具體操作步驟

根據(jù) csrf_token 校驗(yàn)原理，具體操作步驟有以下幾步：
1.后端生成 csrf_token 的值，在前端請(qǐng)求登錄或者注冊(cè)界面的時(shí)候?qū)⒅祩鹘o前端，傳給前端的方式可能有以下兩種：
在模板中的 From 表單中添加隱藏字段
將 csrf_token 使用 cookie 的方式傳給前端
2.在前端發(fā)起請(qǐng)求時(shí)，在表單或者在請(qǐng)求頭中帶上指定的 csrf_token
3.后端在接受到請(qǐng)求之后，取到前端發(fā)送過(guò)來(lái)的 csrf_token，與第1步生成的 csrf_token 的值進(jìn)行校驗(yàn)
4.如果校驗(yàn)對(duì) csrf_token 一致，則代表是正常的請(qǐng)求，否則可能是偽造請(qǐng)求，不予通過(guò)

而在 Flask 中，CSRFProtect 這個(gè)類專門只對(duì)指定 app 進(jìn)行 csrf_token 校驗(yàn)操作，所以開(kāi)發(fā)者需要做以下幾件事情：
生成 csrf_token 的值
將 csrf_token 的值傳給前端瀏覽器
在前端請(qǐng)求時(shí)帶上 csrf_token 值

實(shí)現(xiàn)

后端書寫

為了能夠讓所有的視圖函數(shù)受到 CSRF 保護(hù)，你需要開(kāi)啟 CsrfProtect 模塊:

from flask_wtf.csrf import CsrfProtect
CsrfProtect(app)

像任何其它的 Flask 擴(kuò)展一樣，你可以惰性加載它:

from flask_wtf.csrf import CsrfProtect
csrf = CsrfProtect()

def create_app():
  app = Flask(__name__)
  csrf.init_app(app)

Note
你需要為 CSRF 保護(hù)設(shè)置一個(gè)秘鑰。通常下，同 Flask 應(yīng)用的 SECRET_KEY 是一樣的。

在表單添加保護(hù)

如果模板中存在表單，你不需要做任何事情。與之前一樣:

<form method="post" action="/">
  {{ form.csrf_token }}
</form>

但是如果模板中沒(méi)有表單，你需要一個(gè) CSRF 令牌:

<form method="post" action="/">
  <input type="hidden" name="csrf_token" value="{{ csrf_token() }}" />
</form>

自定義錯(cuò)誤響應(yīng)和關(guān)閉保護(hù)

無(wú)論何時(shí)未通過(guò) CSRF 驗(yàn)證，都會(huì)返回 400 響應(yīng)。你可以自定義這個(gè)錯(cuò)誤響應(yīng):

@csrf.error_handler
def csrf_error(reason):
  return render_template('csrf_error.html', reason=reason), 400

我們強(qiáng)烈建議你對(duì)所有視圖啟用 CSRF 保護(hù)。但也提供了某些視圖函數(shù)不需要保護(hù)的裝飾器:

@csrf.exempt
@app.route('/foo', methods=('GET', 'POST'))
def my_handler():
  # ...
  return 'ok'

默認(rèn)情況下你也可以在所有的視圖中禁用 CSRF 保護(hù)，通過(guò)設(shè)置 WTF_CSRF_CHECK_DEFAULT 為 False，僅僅當(dāng)你需要的時(shí)候選擇調(diào)用 csrf.protect()。這也能夠讓你在檢查 CSRF 令牌前做一些預(yù)先處理:

@app.before_request
def check_csrf():
  if not is_oauth(request):
    csrf.protect()

ajax提交數(shù)據(jù)

不需要表單，通過(guò) AJAX 發(fā)送 POST 請(qǐng)求成為可能。Flask0.9.0 版本后這個(gè)功能變成可用的。

• 假設(shè)你已經(jīng)使用了 CsrfProtect(app)，你可以通過(guò) {{ csrf_token() }} 獲取 CSRF
   令牌。這個(gè)方法在每個(gè)模板中都可以使用，你并不需要擔(dān)心在沒(méi)有表單時(shí)如何渲染 CSRF 令牌字段。

我們推薦的方式是在 meta 標(biāo)簽中渲染 CSRF 令牌:

<meta name="csrf-token" content="{{ csrf_token() }}">

在 script 標(biāo)簽中渲染同樣可行:

<script type="text/javascript">
  var csrftoken = "{{ csrf_token() }}"
</script>

下面的例子采用了在 meta標(biāo)簽渲染的方式， 在 script 中渲染會(huì)更簡(jiǎn)單，你無(wú)須擔(dān)心沒(méi)有相應(yīng)的例子。

無(wú)論何時(shí)你發(fā)送 AJAX POST 請(qǐng)求，為其添加 X-CSRFToken 頭:

var csrftoken = $(‘meta[name=csrf-token]').attr(‘content')

KaTeX parse error: Expected '}', got 'EOF' at end of input: …|OPTIONS|TRACE)/i.test(settings.type) && !this.crossDomain) {
xhr.setRequestHeader(“X-CSRFToken”, csrftoken)
}
}
})

或者這么寫ajax：
在提交請(qǐng)求時(shí)，需要在請(qǐng)求頭中添加 X-CSRFToken 的鍵值對(duì)

$.ajax({
  ...
  headers: {
    "X-CSRFToken": getCookie("csrf_token")
  },
  ...
})

關(guān)于怎么在Flask框架中實(shí)現(xiàn)CSRF 保護(hù)問(wèn)題的解答就分享到這里了，希望以上內(nèi)容可以對(duì)大家有一定的幫助，如果你還有很多疑惑沒(méi)有解開(kāi)，可以關(guān)注創(chuàng)新互聯(lián)成都網(wǎng)站設(shè)計(jì)公司行業(yè)資訊頻道了解更多相關(guān)知識(shí)。

另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)scvps.cn，海內(nèi)外云服務(wù)器15元起步，三天無(wú)理由+7*72小時(shí)售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國(guó)服務(wù)器、虛擬主機(jī)、免備案服務(wù)器”等云主機(jī)租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡(jiǎn)單易用、服務(wù)可用性高、性價(jià)比高”等特點(diǎn)與優(yōu)勢(shì)，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場(chǎng)景需求。

文章題目：怎么在Flask框架中實(shí)現(xiàn)CSRF保護(hù)-創(chuàng)新互聯(lián)
文章轉(zhuǎn)載：http://www.chinadenli.net/article2/dhicoc.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供靜態(tài)網(wǎng)站、軟件開(kāi)發(fā)、響應(yīng)式網(wǎng)站、網(wǎng)站建設(shè)、全網(wǎng)營(yíng)銷推廣、建站公司

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)