在普通的form表单中采用post请求提交数据，可以在form表单的method=post的form标签下面，添加一个csrf_token标签{% csrf_token %}，或者是直接手动的添加一个input标签，<input type='text' name='csrfmiddlewaretoken value='{{ csrf_token }}'>，都可以在form表单中做好csrf防御的工作。但是如果我们的数据是通过jQuery，Ajax提交的，那我们就不能使用csrf_token标签来处理csrf攻击了。这种情况下，可以在form表单中添加csrfmiddlewaretoken，或者是通过ajax在我们的请求头中设置一个X-CSRFToken变量，我们可以从返回的cookie中提取csrf_token，再设置进去。在我们的项目中创建一个js文件为：myajax_csrf.js,用来定义获取cookie中的csrftoken的函数，示例代码如下：
function getcookie(name) {

    var cookieValue = null;

    if (document.cookie && document.cookie !== '') {

        var cookies = document.cookie.split(";");

        for (var i = 0; i < cookies.length; i++) {

            var cookie = jQuery.trim(cookies[i]);

            // Does this cookie string begin with the name we want?

            if (cookie.substring(0, name.length + 1) === (name + '=')) {

                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));

                break;

            }

        }

    }

    return cookieValue;

}

var myajax_csrf = {

    'get': function (args) {

        args['method'] = 'get';

        this.ajax(args);

    },

    'post': function (args) {

        args['method'] = 'post';

        this._ajaxSetup();

        this.ajax(args);

    },

    'ajax': function (args) {

        $.ajax(args);

    },

    '_ajaxSetup': function () {

        $.ajaxSetup({

            beforeSend: function (xhr, settings) {

                if (!/^(GET|HEAD|OPTIONS|TRACE)$/.test(settings.type) && !this.crossDomain) {

                    xhr.setRequestHeader("X-CSRFToken", getcookie('csrftoken'));

                }

            }

        });

    }

};
在我们的转账html中加载js文件，示例代码如下：
{% load static %}

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>ICBC</title>

    <!--加载js文件-->

    <script src="{% static 'myajax_csrf.js' %}"></script>

    <script>

        $(function () {

            $("#submit").click(function (event) {

               <!--阻止form表单采用post请求提交的方式-->

                event.preventDefault();

                var email = $("input[name='email']").val();

                var money = $("input[name='money]").val();

                <!--采用post请求的方式提交-->

                myajax_csrf.post({

                    'url': '/transfer/',

                    'data': {

                        'email': email,

                        'money': money,

                    },

                    'success': function (data) {

                    // 如果状态等于200 才会走到success的回调中

                        console.log(data);

                    },

                    'fail': function (error) {

                        console.log(error);

                    }

                });

            });

        });

    </script>

</head>

<body>

<h1 style="margin: auto">

    中国工商银行转账界面

</h1>

<form action="" method="post">

    <table>

        <tr>

            <td>转账给邮箱：</td>

            <td><input type="email" name="email"></td>

        </tr>

        <tr>

            <td>金额：</td>

            <td><input type="text" name="money"></td>

        </tr>

        <tr>

            <td></td>

            <td><input type="submit" value="提交"></td>

        </tr>

    </table>

</form>

{{ context.info }}

<ul>

    <button><a href="{% url 'logout' %}">退出登录</a></button>

</ul>

</body>

</html>

154.Ajax处理csrf防御的更多相关文章

  1. node csrf 防御 待续

    csrf 防御 token 与 ajax 主要是在cookie添加随机数, 因为攻击者 无法访问第三方网站的 cookie,  加上httponly, 即使是xss也无法访问了 也可以在页面上嵌入一个 ...

  2. 从跨域与同源策略谈CSRF防御与绕过

    之前偶然看到群里有小伙汁问这个token相关的问题,当时我酝酿了一下子,没想好怎么总结,今天来说一下 CSRF在过去还属于OWASP TOP10 ,现在已经不是了(补充一点:关于OWASP API 请 ...

  3. Django框架 之 基于Ajax中csrf跨站请求伪造

    Django框架 之 基于Ajax中csrf跨站请求伪造 ajax中csrf跨站请求伪造 方式一 1 2 3 $.ajaxSetup({     data: {csrfmiddlewaretoken: ...

  4. 2019-11-26：密码学基础知识，csrf防御

    信息安全的基础是数学--->密码算法--->安全协议(ssl VPN)-->应用(证书 PKI)密码学入门密码编码学:研究加解密算法的学科密码分析学:研究破译密码算法的学科 加解密分 ...

  5. csrf攻击与csrf防御

    CSRF(Cross-site request forgery)跨站请求伪造,也被称为“One Click Attack”或者Session Riding,通常缩写为CSRF或者XSRF,是一种对网站 ...

  6. 风炫安全web安全学习第二十九节课 CSRF防御措施

    风炫安全web安全学习第二十九节课 CSRF防御措施 CSRF防御措施 增加token验证 对关键操作增加token验证,token值必须随机,每次都不一样 关于安全的会话管理(SESSION) 不要 ...

  7. CSRF 防御策略

    在业界目前防御 CSRF 攻击主要有三种策略:验证 HTTP Referer 字段:在请求地址中添加 token 并验证:在 HTTP 头中自定义属性并验证.下面就分别对这三种策略进行详细介绍. 验证 ...

  8. Django——CSRF防御

    关于CSRF攻击原理在上一篇博客已经有过说明,这篇主要介绍下Django关于开启CSRF及CSRF工作机理.关于开启防御有两种,一种是全局开启,另一种是局部开启. 全局: 中间件 django.mid ...

  9. ASP.NET MVC4/5 - Ajax 防止 CSRF攻击

    前言 CSRF(Cross-site request forgery跨站请求伪造,也被称为“One Click Attack”或者Session Riding,通常缩写为CSRF或者XSRF,是一种对 ...

随机推荐

  1. 《Git 从入门到体系》- 写给自己的话

    我听过的对我很有冲击力的观点是:知识不成体系就是垃圾.这个观点不一定对,但是却是给我的冲击很大. 我记得以前在咖啡馆和一个博士医生聊天,他提出了这个观点:知识不成体系就是垃圾.听了这个观点我很想反驳他 ...

  2. 吴裕雄--天生自然 R语言数据可视化绘图（3）

    par(ask=TRUE) opar <- par(no.readonly=TRUE) # record current settings # Listing 11.1 - A scatter ...

  3. windows服务踩的坑

    最近写了一个windows服务 有一些bug最后终于解决了还是写点经验把. 第一点.版本问题,因为是小白,第一次写windows服务,选择的是.net4.6.1的目标框架,因为我的电脑是windows ...

  4. 剑指offer-面试题38-字符串的排列-全排列

    /* 题目: 输入字符串,打印字符串的所有排列. 输入acc,输出[acc, cac, cca]. */ /* 思路: 将字符串看作两部分,第一个字符串和后面的部分. 将第一个字符串与后面字符串依次交 ...

  5. [Python机器学习]鸢尾花分类 机器学习应用

    1.问题简述 假设有一名植物学爱好者对她发现的鸢尾花的品种很感兴趣.她收集了每朵鸢尾花的一些测量数据: 花瓣的长度和宽度以及花萼的长度和宽度,所有测量结果的单位都是厘米. 她还有一些鸢尾花的测量数据, ...

  6. vim 配置 jedi-vim( ubuntu:15.10 )

    确保 vim 支持 python3 或者 python 如果你已经安装了 vim, 可以通过vim --version, 在输出中找到 +python3 或者 +python 字样的话, 就可以跳过该 ...

  7. docker配置搭建gogs

    参考文献: https://www.yeboyzq.com/linux/ruanjiananzhuangweihu/1012.html https://www.jianshu.com/p/d92fd4 ...

  8. 深度优先搜索DFS---01背包问题（1）

    题目: 有n件物品,每件物品的重量为w[i],价值为c[i].现在需要选出若干件物品放入一个容量为 V 的背包中,使得在选入背包的物品重量之和,不超过容量V的前提下,让北欧保重物品的价值之和最大,求最 ...

  9. burpsuite抓取小程序的数据包（指定DNS）

    目标:burpsuite抓取微信小程序的数据包,而且该系统需指定DNS!否则无法访问! 大家都知道小程序是https传输的,所以手机端是需要安装burp证书的. 已忽略安装证书的步骤,可自己百度搜索, ...

  10. lvm实现服务器磁盘空间合并

    1    LVM实现将2块磁盘总空间“合二为一”并挂载到同一目录 1.1   磁盘分区 首先查看磁盘信息,对未分区的磁盘进行分区处理(选择你要合并的盘,这里是对vdb.vdc). 如上图,可以看出有5 ...