中间件、csrf跨站请求伪造、Auth模块

Django中间件

1、什么是中间件？

官方的说法：中间件是一个用来处理Django的请求和响应的框架级别的钩子。它是一个轻量、低级别的插件系统，用于在全局范围内改变Django的输入和输出。每个中间件组件都负责做一些特定的功能

说的直白一点中间件是帮助我们在视图函数执行之前和执行之后都可以做一些额外的操作，它本质上就是一个自定义类，类中定义了几个方法，Django框架会在请求的特定的时间去执行这些方法。

我们一直都在使用中间件，只是没有注意到而已，打开Django项目的Settings.py文件，看到下图的MIDDLEWARE配置项。

默认的七个中间件：

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
]

2、执行图：

3、 django中间件可以用来做什么？

　　1.网站全局的身份校验，访问频率限制，权限校验，只要涉及到全局校验都可以在中间件中完成；

　　2.django的中间件是所有web框架中 做的最好的。

4、掌握的方法：

　　1.process_request()方法

　　　　规律：

　　　　　　1.请求来的时候 会经过每个中间件里面的process_request方法(从上往下)

　　　　　　2.如果方法里面直接返回了HttpResponse对象，那么会直接返回，不再往下执行基于该特点就可以做访问频率限制,身份校验,权限校验。

　　2.process_response()方法

　　　　规律：

　　　　　　1.必须将response形参返回 因为这个形参指代的就是要返回给前端的数据

　　　　　　2.响应走的时候 会依次经过每一个中间件里面的process_response方法(从下往上)。

　　了解的方法：

　　3.process_view()

　　　　在路由匹配成功执行视图函数之前 触发

　　4.process_exception()

　　　　当你的视图函数报错时  就会自动执行

　　5.process_template_response()

　　　　当你返回的HttpResponse对象中必须包含render属性才会触发

def index(request):
                                print('我是index视图函数')
                                def render():
                                    return HttpResponse('什么鬼玩意')
                                obj = HttpResponse('index')
                                obj.render = render
                                return obj

5、自定义中间件

from django.utils.deprecation import MiddlewareMixin
from django.shortcuts import HttpResponse

class MyMdd(MiddlewareMixin):
    def process_request(self,request):
        print('我是第一个中间件里面的process_request方法')


    def process_response(self,request,response):
        print('我是第一个中间件里面的process_response方法')
        return response

    def process_view(self,request,view_func,view_args,view_kwargs):
        print(view_func)
        print(view_args)
        print(view_kwargs)
        print('我是第一个中间件里面的process_view方法')

    def process_exception(self, request, exception):
        print('我是第一个中间件里面的process_exception')

    def process_template_response(self, request, response):
        print('我是第一个中间件里面的process_template_response')
        return response

　　1.如果你想让你写的中间件生效 就必须要先继承MiddlewareMixin

　　2.在注册自定义中间件的时候 一定要确保路径不要写错

 

csrf跨站请求伪造

钓鱼网站
通过制作一个跟正儿八经的网站一模一样的页面,骗取用户输入信息 转账交易
从而做手脚
    转账交易的请求确确实实是发给了中国银行,账户的钱也是确确实实少了
    唯一不一样的地方在于收款人账户不对
内部原理
    在让用户输入对方账户的那个input上面做手脚
    给这个input不设置name属性,在内部隐藏一个实现写好的name和value属性的input框
    这个value的值 就是钓鱼网站受益人账号
    
防止钓鱼网站的思路
    网站会给返回给用户的form表单页面 偷偷塞一个随机字符串
    请求到来的时候 会先比对随机字符串是否一致  如果不一致  直接拒绝(403)
    
该随机字符串有以下特点
    1.同一个浏览器每一次访问都不一样
    2.不同浏览器绝对不会重复

　　1、form表单下添加 {% csrf_token %} 即可

　　2、用ajax添加即有三种方法

　　　　$.ajax({
            url:'',
            type:'post',
            // 第一种方式
            data:{'username':'jason','csrfmiddlewaretoken':$('[name=csrfmiddlewaretoken]').val()},
            // 第二种方式
            data:{'username':'jason','csrfmiddlewaretoken':'{{ csrf_token }}'},
            // 第三种方式 :直接引入js文件
            data:{'username':'jason'},
            success:function (data) {
                alert(data)
            }
        })

　　　　第三种方方式，需要static配置文件，前端界面引入文件即可

function getCookie(name) {
    var cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        var cookies = document.cookie.split(';');
        for (var i = 0; i < cookies.length; i++) {
            var cookie = jQuery.trim(cookies[i]);
            // Does this cookie string begin with the name we want?
            if (cookie.substring(0, name.length + 1) === (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}
var csrftoken = getCookie('csrftoken');






function csrfSafeMethod(method) {
  // these HTTP methods do not require CSRF protection
  return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
}

$.ajaxSetup({
  beforeSend: function (xhr, settings) {
    if (!csrfSafeMethod(settings.type) && !this.crossDomain) {
      xhr.setRequestHeader("X-CSRFToken", csrftoken);
    }
  }
});

　　3.当遇到选择性校验问题：

　　　　1.当你网站全局都需要校验csrf的时候 有几个不需要校验该如何处理

　　　　2.当你网站全局不校验csrf的时候 有几个需要校验又该如何处理

　　FBV 直接在函数上装饰

　　CBV

　　　　　　　from django.utils.decorators import method_decorator    
            from django.views.decorators.csrf import csrf_exempt,csrf_protect
            # 这两个装饰器在给CBV装饰的时候 有一定的区别
            如果是csrf_protect 那么有三种方式
                # 第一种方式
                # @method_decorator(csrf_protect,name='post')  # 有效的
                class MyView(View):
                    # 第三种方式
                    # @method_decorator(csrf_protect)
                    def dispatch(self, request, *args, **kwargs):
                        res = super().dispatch(request, *args, **kwargs)
                        return res

                    def get(self,request):
                        return HttpResponse('get')
                    # 第二种方式
                    # @method_decorator(csrf_protect)  # 有效的
                    def post(self,request):
                        return HttpResponse('post')
                    
            如果是csrf_exempt 只有两种(只能给dispatch装)   特例
            @method_decorator(csrf_exempt,name='dispatch')  # 第二种可以不校验的方式
            class MyView(View):
                # @method_decorator(csrf_exempt)  # 第一种可以不校验的方式
                def dispatch(self, request, *args, **kwargs):
                    res = super().dispatch(request, *args, **kwargs)
                    return res

                def get(self,request):
                    return HttpResponse('get')

                def post(self,request):
                    return HttpResponse('post')
        
        总结 装饰器中只有csrf_exempt是特例,其他的装饰器在给CBV装饰的时候 都可以有三种方式

 附：Django请求流程图

Auth模块

　　1.Auth模块是Django自带的用户认证模块：

　　　　我们在开发一个网站的时候，无可避免的需要设计实现网站的用户系统。此时我们需要实现包括用户注册、用户登录、用户认证、注销、修改密码等功能，这还真是个麻烦的事情呢。

　　　　Django作为一个完美主义者的终极框架，当然也会想到用户的这些痛点。它内置了强大的用户认证系统--auth，它默认使用 auth_user 表来存储用户数据。

　　2.auth模块常用方法

from django.contrib import auth

　注册用户

    # User.objects.create(username =username,password=password)  # 创建用户名的时候 千万不要再使用create 了
    # User.objects.create_user(username =username,password=password)  # 创建普通用户
    User.objects.create_superuser(username =username,password=password,email='123@qq.com')  # 创建超级用户  邮箱必填

查询用户
    from django.contrib import auth
    user_obj = auth.authenticate(username=username,password=password)  # 必须要用 因为数据库中的密码字段是密文的 而你获取的用户输入的是明文
记录用户状态
    auth.login(request,user_obj)  # 将用户状态记录到session中
判断用户是否登录
    print(request.user.is_authenticated)  # 判断用户是否登录  如果是你们用户会返回False
用户登录之后 获取用户对象
    print(request.user)  # 如果没有执行auth.login那么拿到的是匿名用户
校验用户是否登录
    from django.contrib.auth.decorators import  login_required
    @login_required(login_url='/xxx/')  # 局部配置
    def index(request):
        pass
    
    # 全局配置  settings文件中
    LOGIN_URL = '/xxx/'
验证密码是否正确
    request.user.check_password(old_password)
修改密码    
    request.user.set_password(new_password)
    request.user.save()  # 修改密码的时候 一定要save保存 否则无法生效
退出登陆
    auth.logout(request)  # request.session.flush()

　　3.自定义auth_user表

from django.contrib.auth.models import AbstractUser
# Create your models here.
# 第一种 使用一对一关系  不考虑



# 第二种方式   使用类的继承
class Userinfo(AbstractUser):
    # 千万不要跟原来表中的字段重复 只能创新
    phone = models.BigIntegerField()
    avatar = models.CharField(max_length=32)

# 一定要在配置文件中 告诉django
# 告诉django  orm不再使用auth默认的表  而是使用你自定义的表
AUTH_USER_MODEL = 'app01.Userinfo'  # '应用名.类名'