Django 模板中如何使用 csrf_token 标签？-JavaScript中文网-JavaScript教程资源分享门户

推荐答案

在 Django 模板中使用 csrf_token 标签的步骤如下：

在表单中添加 csrf_token 标签：在 Django 模板中，如果你有一个表单需要提交数据，通常需要在表单内部添加 {% csrf_token %} 标签。这个标签会生成一个隐藏的输入字段，包含 CSRF 令牌。
```
<form method="post">
    {% csrf_token %}
    
    <input type="text" name="username">
    <input type="submit" value="Submit">
</form>
```
确保视图函数处理 POST 请求时启用了 CSRF 保护：在 Django 中，默认情况下，所有处理 POST 请求的视图函数都会自动启用 CSRF 保护。你不需要手动启用它，除非你明确禁用了 CSRF 保护。
```
from django.views.decorators.csrf import csrf_protect

@csrf_protect
def my_view(request):
    # 处理表单提交的逻辑
    pass
```

在 AJAX 请求中手动添加 CSRF 令牌：如果你使用 AJAX 提交表单数据，需要手动将 CSRF 令牌添加到请求头中。

// www.javascriptcn.com code example
function getCookie(name) {
    let cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        const cookies = document.cookie.split(';');
        for (let i = 0; i < cookies.length; i++) {
            const cookie = cookies[i].trim();
            if (cookie.substring(0, name.length + 1) === (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}

const csrftoken = getCookie('csrftoken');

fetch('/your-endpoint/', {
    method: 'POST',
    headers: {
        'X-CSRFToken': csrftoken,
        'Content-Type': 'application/json'
    },
    body: JSON.stringify({ 'key': 'value' })
});

本题详细解读

什么是 CSRF 保护？

CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种常见的网络攻击方式。攻击者通过伪造用户的请求，诱使用户在不知情的情况下执行某些操作。为了防止这种攻击，Django 提供了 CSRF 保护机制。

`csrf_token` 标签的作用

csrf_token 标签在 Django 模板中用于生成一个 CSRF 令牌。这个令牌是一个随机字符串，与用户的会话相关联。当用户提交表单时，Django 会验证这个令牌，以确保请求是来自合法的用户，而不是来自恶意网站。

为什么需要在 AJAX 请求中手动添加 CSRF 令牌？

在传统的表单提交中，csrf_token 标签会自动生成一个隐藏的输入字段，并在提交表单时将其包含在请求中。然而，在 AJAX 请求中，表单数据是通过 JavaScript 手动构造的，因此需要手动将 CSRF 令牌添加到请求头中。

如何获取 CSRF 令牌？

在 Django 中，CSRF 令牌通常存储在浏览器的 cookie 中，名为 csrftoken。你可以通过 JavaScript 读取这个 cookie，并将其添加到 AJAX 请求的头部。

注意事项

如果你在 Django 中禁用了 CSRF 保护（例如在开发环境中），则不需要使用 csrf_token 标签。
在某些情况下，你可能需要在视图函数中手动禁用 CSRF 保护，例如在 API 视图中。你可以使用 @csrf_exempt 装饰器来实现这一点。

from django.views.decorators.csrf import csrf_exempt

@csrf_exempt
def my_api_view(request):
    # 处理 API 请求的逻辑
    pass

通过以上步骤，你可以在 Django 模板中正确使用 csrf_token 标签，并确保你的应用程序免受 CSRF 攻击的威胁。

Django 模板中如何使用 csrf_token 标签？