Chun leas a bhaint as cosaint CSRF i do thuairimí, lean na céimeanna seo:
\nCuirtear an middleware CSRF i ngníomh de réir réamhshocraithe sa shocrú:: MIDDLEWARE. Má sháraigh tú an socrú sin, cuimhnigh gur chóir go dtiocfadh ``django.middleware.csrf.csrfviewMiddleware'` roimh aon mheán dearcadh a ghlacann leis gur déileáladh le hionsaithe CSRF.
\nMá dhíchumasaigh tú é, nach moltar, is féidir leat: func: ~django.views.decorators.csrf.csrf_protect a úsáid ar thuairimí áirithe ar mhaith leat a chosaint (féach thíos).
\nIn aon teimpléad a úsáideann foirm POST, bain úsáid as an clibe:ttag: csrf_token taobh istigh den eilimint ```má tá an fhoirm le haghaidh URL inmheánach, <form>m.sh.:
\n<form method="post">{% csrf_token %}\nNíor cheart é seo a dhéanamh le haghaidh foirmeacha POST a dhíríonn ar URLanna seachtracha, mar go mbeadh sé sin ina chúis le sceitheadh an chomhartha CSRF, rud a d’fhágfadh go mbeadh leochaileacht ann.
\nSna feidhmeanna amharc comhfhreagracha, cinntigh go n-úsáidtear: class: ~django.template.requestContext chun an freagra a thabhairt ionas go n-oibreoidh {% csrf_token%} `i gceart. Má tá tú ag úsáid an fheidhme:func: `~django.shortcuts.render`, tuairimí cineálacha, nó aipeanna contrib, tá tú clúdaithe cheana ós rud é go n-úsáideann siad seo go léir ``RequestContext.
Cé gur féidir an modh thuas a úsáid le haghaidh iarratais AJAX POST, tá roinnt míchompordach aige: caithfidh tú cuimhneamh an comhartha CSRF a chur isteach mar shonraí POST le gach iarratas POST. Ar an gcúis seo, tá modh malartach ann: ar gach XMLHttpRequest, socraigh ceannteideal saincheaptha ``X-CSRFToken` (mar a shonraítear leis an socrú:setting: CSRF_HEADER_NAME) le luach an chomhartha CSRF. Is minic a bhíonn sé seo níos éasca toisc go soláthraíonn go leor creataí JavaScript crúcaí a cheadaíonn ceanntásca a shocrú ar gach iarratas.
\nAr dtús, ní mór duit an comhartha CSRF a fháil. Braitheann conas é sin a dhéanamh ar an bhfuil na socruithe: 'CSRF_USE_SESSIONS` agus:setting: CSRF_COOKIE_HTTPONLY cumasaithe nó nach bhfuil.
\n\n\nFaoi dheireadh, beidh ort an ceanntásc a shocrú ar d'iarratas AJAX. Ag baint úsáide as an API `fetch () `_:
\nconst request = new Request(\n /* URL */,\n {\n method: 'POST',\n headers: {'X-CSRFToken': csrftoken},\n mode: 'same-origin' // Do not send CSRF token to another domain.\n }\n);\nfetch(request).then(function(response) {\n // ...\n});\nDjango's:class: ~django.template.backends.jinja2.jinja2 cuireann cúltaca teimpléad {{csrf_input}} le comhthéacs na teimpléid go léir atá comhionann le {% csrf_token%} sa teanga teimpléid Django. Mar shampla:
<form method="post">{{ csrf_input }}\nSeachas ``csrfViewMiddleware` a chur leis mar chosaint blaincéid, is féidir leat an maisitheoir: func: ~django.views.decorators.csrf.csrf_protect a úsáid, a bhfuil an fheidhmiúlacht chéanna díreach aige, ar thuairimí áirithe a dteastaíonn an cosaint uathu. Caithfear é a úsáid**an bheath** ar thuairimí a chuireann an comhartha CSRF isteach san aschur, agus ar na tuairimí a ghlacann leis na sonraí foirme POST. (Is minic gurb iad seo an fheidhm radharc céanna, ach ní i gcónaí).
\nNí mholtar an maisitheoir a úsáid leis féin **, ós rud é má dhéanann tú dearmad é a úsáid, beidh poll slándála agat. Tá an straitéis 'crios agus brísea' chun an dá cheann a úsáid go breá, agus beidh lasbhreas íosta ann.
\nDe réir réamhshocraithe, seoltar freagra '403 Forbidden' chuig an úsáideoir má theipeann ar iarratas isteach ar na seiceálacha a dhéanann ``CSRFViewMiddleware`. Níor cheart é seo a fheiceáil de ghnáth ach nuair a bhíonn fíorbhóideacht Iarratas Tras-Láithreáin ann, nó nuair nach bhfuil an comhartha CSRF san áireamh le foirm POST mar gheall ar earráid cláraithe.
\nNíl an leathanach earráide an-chairdiúil, áfach, mar sin b'fhéidir gur mhaith leat do dhearcadh féin a sholáthar chun an riocht seo a láimhseáil. Chun seo a dhéanamh, socraigh an socrú: setting: CSRF_FAILURE_VIEW.
\n<django-security-logger>Déantar teipeanna CSRF a logáil mar rabhaidh don logger: ref: `django.security.csrf `.
\nMá úsáideann teimpléad an chlib teimpléad:ttag: csrf_token (nó tugtar bealach eile ar an bhfeidhm get_token), cuirfidh CSRFViewMiddleware` fianán agus ceannteideal Vary: Cookie leis an bhfreagra. Ciallaíonn sé seo go n-imrífidh an middleware go maith leis an middleware taisce má úsáidtear é mar a threoraítear (téann ``UpdateCacheMiddleware` roimh gach meán-earraí eile).
Mar sin féin, má úsáideann tú maisitheoirí taisce ar thuairimí aonair, ní bheidh an middleware CSRF in ann an ceannteideal Vary nó an fianán CSRF a shocrú fós, agus cuirfear an freagra a chosc gan ceachtar ceann amháin. Sa chás seo, ar aon tuairimí a éilíonn comhartha CSRF a chur isteach ba chóir duit an maisitheoir: func: django.views.decorators.csrf.csrf_protect a úsáid ar dtús:
\nfrom django.views.decorators.cache import cache_page\nfrom django.views.decorators.csrf import csrf_protect\n\n\n@cache_page(60 * 15)\n@csrf_protect\ndef my_view(request): ...\n<decorating-class-based-views>Má tá tuairimí bunaithe ar rang-bhunaithe á úsáid agat, is féidir leat tagairt a thabhairt do:ref: `Tuairimí rangbhunaithe a mhaisiú `.
\nDe ghnáth beidh an CSRFViewMiddleware 'ina bhac mór ar fheidhmeanna radhairc a thástáil, mar gheall ar an ngá atá leis an gcomhartha CSRF nach mór a sheoladh le gach iarratas POST. Ar an gcúis seo, modhnaíodh cliant HTTP Django le haghaidh tástálacha chun bratach a shocrú ar iarratais a mhaolann an middleware agus an maisitheoir csrf_protect` ionas nach dhiúltaíonn siad iarratais a thuilleadh. I ngach leith eile (m.sh. fianáin a sheoladh srl.), iompraíonn siad mar an gcéanna.
\nMás mian leat, ar chúis éigin, * an cliant tástála seiceálacha CSRF a dhéanamh, is féidir leat sampla den chliant tástála a chruthú a fhorfheidhmíonn seiceálacha CSRF:
\n>>> from django.test import Client\n>>> csrf_client = Client(enforce_csrf_checks=True)\nIs féidir go mbeadh riachtanais neamhghnácha ag tuairimí áirithe a chiallaíonn nach n-oireann siad don ghnáthphatrún Is féidir le roinnt fóntais a bheith úsáideach sna cásanna seo. Déantar cur síos ar na cásanna a d'fhéadfadh a bheith ag teastáil iontu sa chuid seo a leanas.
\nÉilíonn cosaint CSRF ar an gcuid is mó de na tuairimí, ach níl cúpla ceann acu.
\nRéiteach: seachas an middleware a dhíchumasú agus csrf_protect` a chur i bhfeidhm ar na tuairimí go léir a theastaíonn uathu, cumasaigh an middleware agus úsáide:func: ~django.views.decorators.csrf.csrf_exempt.
\nTá cásanna ann nuair nach raibh CSRFViewMiddleware.process_view` rith sula ndéantar do radharc a reáchtáil - 404 agus 500 láimhseálaí, mar shampla - ach teastaíonn an comhartha CSRF uait fós i bhfoirm.
\nRéiteach: úsáid: func: ~django.views.decorators.csrf.requires_csrf_token
\nD'fhéadfadh go mbeadh roinnt tuairimí ann nach bhfuil gan chosaint agus a bhfuil díolmhaithe orthu ag csrf_exempt`, ach ní mór an comhartha CSRF a áireamh fós.
\nRéiteach: úsáid: func: ~django.views.decorators.csrf.csrf_exempt ina dhiaidh sin: func: ~django.views.decorators.csrf.requires_csrf_token. (ie, ba chóir go mbeadh requires_csrf_token` an maisitheoir is istigh).
\nTeastaíonn cosaint CSRF ó dhearcadh faoi shraith amháin coinníollacha amháin, agus níor cheart dó é a bheith aige don chuid eile den am.
\nRéiteach: úsáid: func: ~django.views.decorators.csrf.csrf_exempt don fheidhm amharc iomlán, agus:func: ~django.views.decorators.csrf.csrf_protect don chosán laistigh de dhíth a chosaint air. Sampla:
\nfrom django.views.decorators.csrf import csrf_exempt, csrf_protect\n\n\n@csrf_exempt\ndef my_view(request):\n @csrf_protect\n def protected_path(request):\n do_something()\n\n if some_condition():\n return protected_path(request)\n else:\n do_something_else()\nDéanann leathanach iarratas POST trí AJAX, agus níl foirm HTML ag an leathanach le a:ttag: csrf_token a chuirfeadh an fianán CSRF riachtanach a sheoladh.
\nRéiteach: úsáid: func: ~django.views.decorators.csrf.ensure_csrf_cookie ar an radharc a sheolann an leathanach.
\nToisc go bhfuil sé indéanta don fhorbróir an CSRFViewMiddleware a mhúchadh, úsáideann gach tuairim ábhartha in aipeanna contrib an maisitheoir csrf_protect` chun slándáil na bhfeidhmchlár seo i gcoinne CSRF a chinntiú. Moltar go n-úsáideann forbróirí aipeanna in-athúsáidte eile a dteastaíonn na ráthaíochtaí céanna uathu an maisitheoir csrf_protect` ar a dtuairimí.
\n