django - Django 中的 CSRF 保护

Question

我对 django 中的 CSRF 保护一无所知。例如我们有一些恶意网站。将 get-request 从该站点发送到受 csrf 保护的 url，解析页面并获取 csrf 值，然后使用此值发布有什么问题？

Answer 1

For example we have some malicious site. What is the problem to send get-request from this site to csrf protected url, parse the page and get csrf value, then post with this value?

如果您这样做，CSRF cookie 的 session 副本将不匹配，并且您的请求将被拒绝。

此外，应该注意的是，仅针对 HTTPS 请求进行引荐来源网址检查，以防止出现 MitM。脆弱性。

见 this django wiki entry有关 CSRF 保护如何工作的讨论，以及 this SO question专门讨论了中间人攻击。