70-django-中间件、csrf跨站请求伪造、csrf校验、csrf相关装饰器、模块补充、基于django中间件一个重要的编程思想

今日内容概要

• django中间件
  • 首先django自带七个中间件，每个中间件都有各自对应的功能
  • 并且django还支持程序员自定义中间件
  • 你在用django开发项目的项目的时候，只要是涉及到全局相关的功能都可以使用中间件方便的完成
• 全局用户身份校验
• 全局用户权限校验(补充)
• 全局访问频率校验
• …
• 基于django中间件一个重要的变成思想(补充)
• csrf跨站请求伪造

今日内容详细

django中间件

"""
django中间件是django的门户
1.请求来的时候需要先经过中间件才能到达真正的django后端
2.响应走的时候最后也需要经过中间件才能发送出去

django自带七个中间件
"""
django请求生命周期流程图

研究django中间件代码规律
MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
]

class SessionMiddleware(MiddlewareMixin):
    def process_request(self, request):
        session_key = request.COOKIES.get(settings.SESSION_COOKIE_NAME)
        request.session = self.SessionStore(session_key)
    def process_response(self, request, response):
        return response
      
class CsrfViewMiddleware(MiddlewareMixin):
      def process_request(self, request):
        csrf_token = self._get_token(request)
        if csrf_token is not None:
            # Use same token next time.
            request.META['CSRF_COOKIE'] = csrf_token
    def process_view(self, request, callback, callback_args, callback_kwargs):
        return self._accept(request)

    def process_response(self, request, response):
        return response
      
class AuthenticationMiddleware(MiddlewareMixin):
    def process_request(self, request):
        request.user = SimpleLazyObject(lambda: get_user(request))
"""
django支持程序员自定义中间件并且暴露给程序员五个可以自定义的方法
    1.必须掌握
        process_request
        
        process_response
    2.了解即可
        process_view
            
        process_template_response
        
        process_exception
"""

如何自定义中间件

"""
1.在项目名或者应用名下创建一个任意名称的文件夹
2.在该文件夹内创建一个任意名称的py文件
3.在该py文件内需要书写类(这个类必须继承MiddlewareMixin)
    然后在这个类里面就可以自定义五个方法了
    (这五个方法并不是全部都需要书写，用几个写几个)
4.需要将类的路径以字符串的形式注册到配置文件中才能生效
MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    '你自己写的中间件的路径1',
    '你自己写的中间件的路径2',
    '你自己写的中间件的路径3',
]

"""

'''
from django.utils.deprecation import MiddlewareMixin
from django.shortcuts import render, HttpResponse, redirect


class MyMiddleware1(MiddlewareMixin):
    def process_request(self, request):
        print('第一个自定的process_request方法')
        # return HttpResponse('第一个自定的process_request方法')

    def process_response(self, request, response):
        print('第一个自定的process_response方法')
        return response

    def process_view(self, request, view_name, *args, **kwargs):
        print(view_name, args, kwargs)
        print('第一个自定的process_view方法')

    def process_template_response(self, request, response):
        print('第一个自定的process_template_response方法')
        return response

    def process_exception(self, request, exception):
        print('第一个自定的process_exception方法')
        print(exception)


class MyMiddleware2(MiddlewareMixin):
    def process_request(self, request):
        print('第二个自定的process_request方法')

    def process_response(self, request, response):
        print('第二个自定的process_response方法')
        return response

    def process_view(self, request, view_name, *args, **kwargs):
        print(view_name, args, kwargs)
        print('第二个自定的process_view方法')

    def process_template_response(self, request, response):
        print('第二个自定的process_template_response方法')
        return response

    def process_exception(self, request, exception):
        print('第二个自定的process_exception方法')
        print(exception)
'''

"""
1.必须掌握
        process_request 
            1.请求来的时候需要经过每一个中间件里面的process_request方法
            结果的顺序是按照配置文件中注册的中间件从上往下的顺序依次执行
            2.如果中间件里面没有定义该方法，那么直接跳过执行下一个中间件
            3.如果该方法返回了HttpResponse对象，那么请求将不再继续往后执行
            而是直接原路返回(校验失败不允许访问...)
            process_request方法就是用来做全局相关的所有限制功能
            
        process_response   (它的参数response就是django返回给浏览器的内容)
            1.响应走的时候需要经过每一个中间件里面的process_response方法
            该方法有两个额外的参数request,response
            2.该方法必须返回一个HttpResponse对象
                1.默认返回的就是形参response
                2.你也可以自己返回自己的
            3.顺序是按照配置文件中注册了的中间件从下往上依次经过
                如果你没有定义的话 直接跳过执行下一个
        
        研究如果在第一个process_request方法就已经返回了HttpResponse对象，那么响应走的时候是经过所有的中间件里面的process_response还是有其他情况
        是其他情况
            就是会直接走同级别的process_reponse返回
        
        flask框架也有一个中间件但是它的规律
            只要返回数据了就必须经过所有中间件里面的类似于process_reponse方法
            
            
2.了解即可
        process_view
            路由匹配成功之后执行视图函数之前，会自动执行中间件里面的该放法
            顺序是按照配置文件中注册的中间件从上往下的顺序依次执行
            
        process_template_response
            返回的HttpResponse对象有render属性的时候才会触发
                        只要形参中有response你就必须返回
            顺序是按照配置文件中注册了的中间件从下往上依次经过
'''
                        def index(request):
                        print('在下index是也')
                        obj = HttpResponse('在下index是也')
                        def render():
                         print('内部render方法')
                        return HttpResponse('98K牛逼')
                        obj.render = render
                        return obj
'''            

        process_exception
            当视图函数中出现异常的情况下触发
                        参数exception就是报错信息
            顺序是按照配置文件中注册了的中间件从下往上依次经过
"""
                

csrf跨站请求伪造

"""
钓鱼网站
    我搭建一个跟正规网站一模一样的界面(中国银行)
    用户不小心进入到了我们的网站，用户给某个人打钱
    打钱的操作确确实实是提交给了中国银行的系统，用户的钱也确确实实减少了
    但是唯一不同的时候打钱的账户不适用户想要打的账户变成了一个莫名其妙的账户

大学英语四六级
    考之前需要学生自己网站登陆缴费

内部本质
    我们在钓鱼网站的页面 针对对方账户 只给用户提供一个没有name属性的普通input框
    然后我们在内部隐藏一个已经写好name和value的input框

如何规避上述问题
    csrf跨站请求伪造校验
        网站在给用户返回一个具有提交数据功能页面的时候会给这个页面加一个
唯一标识
        当这个页面朝后端发送post请求的时候 我的后端会先校验唯一标识，如果
唯一标识不对直接拒绝(403 forbbiden)如果成功则正常执行    
"""

如何符合校验

# form表单如何符合校验
<form action="" method="post">
    {% csrf_token %}
    <p>username:<input type="text" name="username"></p>
    <p>target_user:<input type="text" name="target_user"></p>
    <p>money:<input type="text" name="money"></p>
    <input type="submit">
</form>

# ajax如何符合校验
// 第一种 利用标签查找获取页面上的随机字符串
{#data:{"username":'jason','csrfmiddlewaretoken':$('[name=csrfmiddlewaretoken]').val()},#}
// 第二种 利用模版语法提供的快捷书写
{#data:{"username":'jason','csrfmiddlewaretoken':'{{ csrf_token }}'},#}
// 第三种 通用方式直接拷贝js代码并应用到自己的html页面上即可
{% load static %}
<script src="{% static 'js/mysetup.js'%}"></script>

function getCookie(name) {
    var cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        var cookies = document.cookie.split(';');
        for (var i = 0; i < cookies.length; i++) {
            var cookie = jQuery.trim(cookies[i]);
            // Does this cookie string begin with the name we want?
            if (cookie.substring(0, name.length + 1) === (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}
var csrftoken = getCookie('csrftoken');


function csrfSafeMethod(method) {
  // these HTTP methods do not require CSRF protection
  return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
}

$.ajaxSetup({
  beforeSend: function (xhr, settings) {
    if (!csrfSafeMethod(settings.type) && !this.crossDomain) {
      xhr.setRequestHeader("X-CSRFToken", csrftoken);
    }
  }
});

csrf相关装饰器

"""
1.网站整体都不校验csrf，就单单几个视图函数需要校验
2.网站整体都校验csrf，就单单几个视图函数不校验
"""
from django.views.decorators.csrf import csrf_protect,csrf_exempt
from django.utils.decorators import method_decorator
"""
csrf_protect  需要校验
    针对csrf_protect符合我们之前所学的装饰器的三种玩法
csrf_exempt   忽视校验
    针对csrf_exempt只能给dispatch方法加才有效
"""
# @csrf_exempt
# @csrf_protect
def transfer(request):
    if request.method == 'POST':
        username = request.POST.get('username')
        target_user = request.POST.get('target_user')
        money = request.POST.get('money')
        print('%s给%s转了%s元'%(username,target_user,money))
    return render(request,'transfer.html')



from django.views import View

# @method_decorator(csrf_protect,name='post')  # 针对csrf_protect 第二种方式可以
# @method_decorator(csrf_exempt,name='post')  # 针对csrf_exempt 第二种方式不可以
@method_decorator(csrf_exempt,name='dispatch')
class MyCsrfToken(View):
    # @method_decorator(csrf_protect)  # 针对csrf_protect 第三种方式可以
    # @method_decorator(csrf_exempt)  # 针对csrf_exempt 第三种方式可以
    def dispatch(self, request, *args, **kwargs):
        return super(MyCsrfToken, self).dispatch(request,*args,**kwargs)

    def get(self,request):
        return HttpResponse('get')

    # @method_decorator(csrf_protect)  # 针对csrf_protect 第一种方式可以
    # @method_decorator(csrf_exempt)  # 针对csrf_exempt 第一种方式不可以
    def post(self,request):
        return HttpResponse('post')

补充知识点-补充模块

# 模块:importlib
import importlib
res = 'myfile.b'
ret = importlib.import_module(res)  # from myfile import b
# 该方法最小只能到py文件名，不能再往下到文件里边变量名
print(ret)  # <module 'myfile.b' from 'C:\Users\Administrator\PycharmProjects\day70\myfile\b.py'>  

基于django中间件一个重要的编程思想

notify文件夹

__init__.py 文件

import settings
import importlib


def send_all(content):
    for path_str in settings.NOTIFY_LIST:  # path_str是setting得NOTIFY_LIST列表中一个个的字符串  例如：'notify.email.Email'
        module_path, class_name = path_str.rsplit('.', maxsplit=1)
        # modult_path = 'notify.email'   class_name = 'Email'
        # 1.利用字符串导入模块
        module = importlib.import_module(module_path)    # 这句话相当于： from notify import email
        # 2.利用反射获取类名
        cls = getattr(module, class_name)   # 这句话就可以拿到 Email、QQ、Wechat
        # 3.生成类的对象
        obj = cls()
        # 4.利用鸭子类型直接调用send方法
        obj.send(content)

email.py、qq.py、msg.py、wechat.py 文件

----email.py文件----

class Email(object):
    def __init__(self):
        pass   # 发送邮箱需要得前期准备工作

    def send(self, content):
        print('邮箱通知：%s'%content)


----msg.py文件----

class Msg(object):
    def __init__(self):
        pass  # 发送短信需要得前期准备工作

    def send(self, content):
        print('短信通知：%s'%content)

----wechat.py文件----

class Wechat(object):
    def __init__(self):
        pass  # 发送微信需要得前期准备工作

    def send(self, content):
        print('微信通知：%s'%content)

----qq.py文件----

class QQ(object):
    def __init__(self):
        pass  # 发送QQ需要得前期准备工作

    def send(self, content):
        print('QQ通知：%s'%content)

settings.py 文件

NOTIFY_LIST = [
    'notify.email.Email',
    'notify.qq.QQ',
    'notify.wechat.Wechat',
    'notify.msg.Msg',
]

start.py 文件

import notify

notify.send_all('快线上开课了')

# 执行结果
'''
邮箱通知：快线上开课了
QQ通知：快线上开课了
微信通知：快线上开课了
短信通知：快线上开课了
'''

 今日测试

"""
今日考题
1.什么是django中间件，它的作用是什么，如何自定义中间件，里面有哪些用户可以自定义的方法，这些方法有何特点
2.基于django中间件的功能设计，你有啥感悟和心得
3.什么是跨站请求伪造，你可以用一个具体的实例描述一下，django中如何防止及通过跨站请求伪造校验(form表单与ajax)
4.跨站请求伪造相关的装饰器有哪些，应用在FBV与CBV上的有什么异同
"""

今日内容回顾

django中间件

"""
django中间件类似于django的保安
    1.请求来的时候需要先经过中间件才能到达urls.py继续匹配
    2.响应走的时候最后也需要经过中间件才能真正离开django后端

django中间件能够做的事情
    只要是涉及到项目全局的功能，你一定要想到中间件
    1.全局身份校验
    2.全局访问频率校验
    3.全局权限校验
    ...
    
django默认有七个中间件(每个中间件其实就类似于一块独立的功能)

django除了有自带的七个之外还支持用户自定义中间件并且暴露给用户五个可以自定义的方法
"""
# 如何自定义中间件
  1.在应用或者项目下创建一个任意名称的文件夹
  2.在该文件夹内创建任意名称的py文件
  3.在py文件内书写类 这个类需要继承所有中间件类都继承的MiddlewareMixin
  4.需要在配置文件中书写类的完整路径

# 需要掌握的两个
    1.process_request(self,request)
      1.请求来的时候会按照配置文件中注册的中间件从上往下依次经过每一个中间件里面的该方法，如果没有定义直接跳过
    2.该方法也可以自己返回HttpResponse对象，一旦返回则请求不再继续往后执行直接原路返回(可以借助于该方法实现很多限制校验功能)
  
  2.process_response(self,request,response)
      1.响应走的时候会按照配置文件中注册的中间件从下往上依次经过每一个中间件里面的该方法，如果没有定义直接跳过
    2.形参response就是返回给前端浏览器的内容，也就意味着该方法要么将response返回要么自己返回一个HttpResponse对象
    # 只要是形参中带有response的方法，那么该方法就必须返回response或者HttpResponse对象
    
  """
  注意
      当process_request返回HttpResponse对象之后会直接走同级别的process_response而不会将所有的process_response都走一遍
      
      但是在flask框架也有类似的中间件
      但是它的特点只要返回响应就必须将所有类似于process_response功能方法全部走一遍
  """
  
# 了解即可的三个
    1.process_view(self,view_name,*args,**kwargs)
      路由匹配成功之后执行视图函数之前
    
  2.process_exception(self,request,exception)
      当后端视图函数出现报错的时候
  
  3.process_template_response(self,request,response)
      返回的HttpResponse对象必须含有render属性

csrf跨站请求伪造

"""
钓鱼网站
本质:
    用假网站代替真网站，获取用户数据朝真网站提交，中途修改一些参数
    eg:网页银行转账的例子
    
解决办法:
    在给用户返回的具有可以提交post请求的页面上添加一个唯一标记
    之后该页面发送post请求到后端，会先校验该唯一标记
"""
# form表单如何获取
    在form表单内书写{% csrf_token %}
  <input type='hidden' name='csrfmiddlewaretoken' value='唯一的随机字符串'/>

# ajax如何如何
  1.自己利用标签查找获取值
 data:{'csrfmiddlewaretoken':'$("[name=csrfmiddlewaretoken]").val()'}
  2.利用模版语法
 data:{'csrfmiddlewaretoken':'{{ csrf_token }}'}
  3.通用的 js文件
  拷贝固定的js代码导入到你的html页面上即可

csrf相关装饰器

"""
from django.views.decorators.csrf import csrf_protect,csrf_exempt
csrf_protect:需要校验csrf
    跟我们之前学习的三种给CBV加装饰器的玩法一样

csrf_exempt:忽略校验csrf
    只能作用于dispatch方法

他们两个在FBV上使用方式一致，就是普通的装饰器玩法
而在CBV上两者却有区别
"""

参考django中间件功能设计扩展知识

# 模块 importlib
    能够以字符串的形式帮助你导入模块，但是需要注意最小单位只能到模块名

# 功能的插拔式设计
    1.配置文件注册功能
  2.importlib模块
  3.字符串切割split
  4.反射
  5.面向对象及鸭子类型
# 一定要总结吸收该思想

作业

'''
今日作业
1.整理今日内容至个人博客或笔记中
2.自己编写参考django中间件实现功能可配置插拔式设计体会编程思想
'''