django中的csrfmiddleware防範的原理？

1樓：facert

1. 是的，csrf_token 就是個全域性變數，是 django 自動生成的

2. csrf_token 不需要 django 儲存3. 兩種 token 沒什麼區別，每次重新整理生成乙個新的 token ，然後會把 token 返回給前端，在模板裡面以顯示，同時也會有 set-cookie 操作，把 token 寫進瀏覽器 cookie。

驗證請求的時候，只需要拿 cookie 裡面的 csrf_token 和 body 裡面的 token 值進行比較，如果一樣，則認為請求有效。

4. 首先瀏覽器有跨域的限制，所以偽造站點並不能拿到本站點的 cookie，但是偽造站點可以通過構造 form 表單，表單 submit 的位址是本站點的請求，這個時候 cookie 也是本站點的。為了防止這種行為的發生，所以提交的時候得帶乙個隨機值，也就是 csrf_token。

這個值偽造站點是沒法直接拿到的。