flask中的csrf防御机制

csrf概念

CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。

攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等

csrf攻击过程

1. 用户C打开浏览器，访问受信任网站A，输入用户名和密码请求登录网站A；
2. 在用户信息通过验证后，网站A产生Cookie信息并返回给浏览器，此时用户登录网站A成功，可以正常发送请求到网站A；
3. 用户未退出网站A之前，在同一浏览器中，打开一个TAB页访问网站B；
4. 网站B接收到用户请求后，返回一些攻击性代码，并发出一个请求要求访问第三方站点A；
5. 浏览器在接收到这些攻击性代码后，根据网站B的请求，在用户不知情的情况下携带Cookie信息，向网站A发出请求。网站A并不知道该请求其实是由B发起的，所以会根据用户C的Cookie信息以C的权限处理该请求，导致来自网站B的恶意代码被执行。
   

防御措施
1.开启csrf保护

在创建app实例的时候
from flask import Flask
from flask_wtf.csrf import CSRFProject
app=Flask(__name__)
#开启CSRF保护
CSRFProject(app)

2.对页面HTML加上csrf_token 的标签

# coding:utf-8

from flask import Blueprint, current_app,make_response
from flask_wtf.csrf import generate_csrf

# 构造一个蓝图对象
html = Blueprint("html", __name__)

@html.route("/<re(r'.*'):file_name>")
def get_html_file(file_name):
    '''提供html文件'''
    # 根据用户指明的html文件名，提供相应的html文件
    if not file_name:
        file_name = "index.html"
    if file_name != "favicon.ico":
        file_name = "html/" + file_name    
    #使用wtf帮助我们生成csrf_token字符串
    csrf_token=generate_csrf()
    #为用户设置cookie值为csrf_token 防止csrf攻击
    resp=make_response(current_app.send_static_file(file_name))
    resp.set_cookie("csrf_token",csrf_token)
    return resp

3.给post请求的ajax中的headers添加“X-CSRFToken”

 req_json = JSON.stringify(req_data);
        $.ajax({
            url: "/api/v1_0/users",
            type: "post",
            data: req_json,
            contentType: "application/json",//指明向后端发送的是json格式数据
            dataType: "json",//指明从后端收到的数据是json格式的
            headers:{
                "X-CSRFToken":getCookie("csrf_token")
            },
            success: function (resp) {
                if (resp.errno == 0) {
                    //注册成功，引导到主页界面
                    location.href = "/";

                } else {
                    alert(resp.errmsg);
                }
            }
        })

getCookie（）函数是定义在js中的功能函数，如下：

function getCookie(name) {
    var r = document.cookie.match("\\b" + name + "=([^;]*)\\b");
    return r ? r[1] : undefined;
}

1.在客户端向后端请求界面数据的时候，后端会往响应中的 cookie 中设置 csrf_token 的值
2.给post请求的ajax中的headers添加“X-CSRFToken”，添加值也是 csrf_token
3.在用户发起请求以后，会带上这两个值向后台发起请求
4.后端接受到请求，会做以下几件事：
1.从 cookie中取出 csrf_token
2.从headers中取出csrf_token
3.CSRFProtect会为我们自动比较这两个值
如果比较之后两值一样，那么代表是正常的请求，如果没取到或者比较不一样，代表不是正常的请求，不执行下一步操作
另外不要担心黑客能拿到csrf_token值，由于同源策略, 黑客是没办法获取用户浏览器中的csrf_token隐藏域，由于浏览器安全机制,黑客也没办法获取cookie中的csrf_token。