如何在 Django 中防御 CSRF 攻击？

在Django框架中，防御CSRF攻击已经被内置并默认启用。Django使用CSRF tokens来防止CSRF攻击，以下是Django实现防御CSRF攻击的基本步骤：

1. 中间件

确保django.middleware.csrf.CsrfViewMiddleware在你的MIDDLEWARE配置中启用。这个中间件负责在处理POST表单时检查CSRF token。

MIDDLEWARE = [
    # ...
    'django.middleware.csrf.CsrfViewMiddleware',
    # ...
]

2. 模板标签

在模板中，你需要使用{% csrf_token %}模板标签来包含CSRF token。该标签会输出一个隐藏的表单字段，里面包含了CSRF token的值。

<form method="post">
    {% csrf_token %}
    <!-- 你的表单字段 -->
</form>

当表单提交时，CsrfViewMiddleware会检查这个隐藏字段的token值，以确保请求是从你的网站提交的。

3. 非表单请求

如果你需要在非表单的HTTP请求中，比如在AJAX请求中发送CSRF token，你可以从cookie中获取token值，并在请求的HTTP头中发送它。Django在响应中设置一个名为csrftoken的cookie，你可以在JavaScript中从这个cookie读取token，并将其添加到你的请求头中。

function getCookie(name) {
    let cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        const cookies = document.cookie.split(';');
        for (let i = 0; i < cookies.length; i++) {
            const cookie = cookies[i].trim();
            if (cookie.substring(0, name.length + 1) === (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}

const csrftoken = getCookie('csrftoken');

// 在AJAX请求头中设置X-CSRFToken
fetch('/your-endpoint/', {
    method: 'POST',
    headers: {
        'X-CSRFToken': csrftoken,
        // 其他必要的头信息
    },
    body: JSON.stringify(yourData),
})
.then(response => response.json())
// 处理响应...

4. 免除CSRF保护

在某些罕见的情况下，你可能需要为特定的视图免除CSRF保护。Django提供了一个装饰器@csrf_exempt来为特定的视图函数禁用CSRF保护。

from django.views.decorators.csrf import csrf_exempt

@csrf_exempt
def my_view(request):
    # 你的视图逻辑
    pass

但是，不建议这样做，除非你完全理解潜在的安全风险并需要处理来自外部域的不信任输入。

确保在开发Web应用时始终保持Django框架的相关依赖项更新到最新，以利用最新的安全修复和改进。遵循Django官方安全指南，可以帮助你编写更安全的应用程序。