12.5 csrf校验和auth模块

1.基于django中间件的拷贝思想

需求：实现三种通知功能
#方式一：
#notify.py
def send_email(content):
    print('邮箱通知：%s'% content)

def send_msg(content):
    print('短信通知：%s'% content)

def send_wechat(content):
    print('微信通知：%s'% content)

#start.py
from first.notify import *

def send_all(content):
    send_msg(content)
    send_email(content)
    send_wechat(content)

if __name__ == '__main__':
    send_all('后天是周末')

#方式二：
#lib文件夹
#bbb.py
name='from bbb'

#aaa.py
import importlib
res='lib.bbb'
#利用字符串形式导入模块
md=importlib.import_module(res)  #这句相当于 from lib import bbb
print(md)    #该模块字符串最小单位只能到文件名

#settings.py
NOTIFY_LIST=[
    'notify.email.Email',
    'notify.msg.Msg',
    'notify.qq.Qq',
    'notify.WeChat.WeChat',
]
#start.py
from notify import *
send_all('周末了，哈哈哈哈')

#notify 包文件
#email.py
class Email(object):
    def __init__(self):
        pass

    def send(self,content):
        print('邮件通知:%s'%content)

#msg.py
class Msg(object):
    def __init__(self):
        pass

    def send(self, content):
        print('短信通知:%s' % content)

#qq.py
class Qq(object):
    def __init__(self):
        pass

    def send(self, content):
        print('qq通知:%s' % content)

#wechat.py
class WeChat(object):
    def __init__(self):
        pass

    def send(self, content):
        print('微信通知:%s' % content)

#__init__.py
import settings
import importlib

def send_all(content):
    for path in settings.NOTIFY_LIST:  #拿到一个个的路径字符串 'notify.email.Email'
        module_path,cls_name=path.rsplit('.',maxsplit=1)
        #字符串'notify.email'  类cls_name='Email'
        md=importlib.import_module(module_path)  #from notify import email
        cls=getattr(md,cls_name)   #获取到文件夹中类的名字
        obj=cls()  #产生一个个类对象
        obj.send(content)  #鸭子类型

2.跨站请求伪造csrf

• 如何实现钓鱼网站
  • 你在写form表单的时候 让用户填写的账户input并没有name属性，是你自己在内部偷偷隐藏了一个具有name属性的input框，并且value值是你自己的账户，然后将该标签隐藏了
• 模拟该现象的产生 创建两个django项目

#正经网站
#transfer.py
def transfer(request):
    if request.method=='POST':
        username=request.POST.get('username')
        target_user=request.POST.get('target_user')
        money=request.POST.get('money')
        print('%s 给 %s 转了 %s钱'%(username,target_user,money))

    return render(request,'transfer.html')
#transfer.html
<p>这是正经网站</p>
<form action="" method="post">
    <p>username:<input type="text" name="username"></p>
    <p>target_account:<input type="text" name="target_user"></p>
    <p>money:<input type="text" name="money"></p>
    <input type="submit">


#钓鱼网站
#transfer.py
def transfer(request):
    return render(request,'transfer.html')

#transfer.html
<p>这是假冒的网站</p>
<form action="http://127.0.0.1:8000/transfer/" method="post">
    <p>username:<input type="text" name="username"></p>
    <p>target_account:
        <input type="text">
        <input type="text" name="target_user" value="ldd" style="display: none"></p>
    <p>money:<input type="text" name="money"></p>
    <input type="submit">

• 如何解决钓鱼网站这种问题：只处理本网站提供的数据
• 那么如何判断当前请求是本网站发出的呢？
  • 解决方法：网站在返回给用户一个form表单的时候 会自动在该表单隐藏一个input框，这个框

的value是一个随机字符串 但是网站能够记住每一个浏览器发送的随机字符串

以后在写form表单的时候 只需要在表单中写一个{% csrf_token %}
<p>这是正经网站</p>
<form action="" method="post">
    {% csrf_token %}
    <p>username:<input type="text" name="username"></p>
    <p>target_account:<input type="text" name="target_user"></p>
    <p>money:<input type="text" name="money"></p>
    <input type="submit">

• 为了防止钓鱼网站恶意拦截，正常网站都只要接收到post请求，都会做csrf校验

3.ajax的post请求如何用csrf解决

• 方式一：较为繁琐
  • 先在页面任意位置上书写{% csrf_token %}
  • 然后在发送ajax请求的时候 通过标签查找获取随机字符串，添加到data自定义对象即可
• 方式二：较为简单
• 方式三：官网提供的文件 最通用的一种方式，用于前后端分离
  • 直接新建js文件，放在static文件夹里，记得settings里面配一下。拷贝代码 导入即可
  • 不需要做任何的csrf相关的代码书写

{% csrf_token %}
<button id="d1">发送ajax</button>

<script src="/static/setup.js"></script>  //js文件相关
<script>
    $('#d1').click(function () {
        $.ajax({
            url:'',
            type:'post',
            // 第一种
            data:{'username':'jason','csrfmiddlewaretoken':$('input[name="csrfmiddlewaretoken"]').val()},
            // 第二种
            data:{'username':'jason','csrfmiddlewaretoken':'{{ csrf_token }}'},
            // 第三种  利用脚本文件
            data:{'username':'jason'},
            success:function (data) {
                alert(data)
            }
        })
    })
</script>

静态文件夹里的js文件：
function getCookie(name) {
    var cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        var cookies = document.cookie.split(';');
        for (var i = 0; i < cookies.length; i++) {
            var cookie = jQuery.trim(cookies[i]);
            // Does this cookie string begin with the name we want?
            if (cookie.substring(0, name.length + 1) === (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}
var csrftoken = getCookie('csrftoken');

function getCookie(name) {
    var cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        var cookies = document.cookie.split(';');
        for (var i = 0; i < cookies.length; i++) {
            var cookie = jQuery.trim(cookies[i]);
            // Does this cookie string begin with the name we want?
            if (cookie.substring(0, name.length + 1) === (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}
var csrftoken = getCookie('csrftoken');

将这些代码的文件配置到你的Django项目的静态文件中，在html页面上通过导入该文件即可自动帮我们解决ajax提交post数据时校验csrf_token的问题，(导入该配置文件之前，需要先导入jQuery，因为这个配置文件内的内容是基于jQuery来实现的)

4.csrf相关的装饰器

from django.views.decorators.csrf import csrf_exempt,csrf_protect
# @csrf_exempt  # 不校验 csrf
def index(request):
    return HttpResponse('index')


@csrf_protect  # 校验
def login(request):
    return HttpResponse('login')

• 这两个装饰器在CBV上有何异同

# @method_decorator(csrf_exempt,name='post')  # csrf_exempt不支持该方法
@method_decorator(csrf_exempt,name='dispatch')  # csrf_exempt
class MyIndex(views.View):
    # @method_decorator(csrf_exempt)  # 可以
    def dispatch(self, request, *args, **kwargs):
        return super().dispatch(request,*args,**kwargs)
    def get(self,request):
        return render(request,'transfer.html')
    # @method_decorator(csrf_exempt,name='post')  # csrf_exempt不支持该方法
    def post(self,request):
        return HttpResponse('OK')
    # csrf_exempt这个装饰器只能给dispatch装才能生效

    """
    csrf_protect方式全都可以  跟你普通的装饰器装饰CBV一致
    """
    # @method_decorator(csrf_protect,name='post')  # 可以
    class MyIndex(views.View):
        @method_decorator(csrf_protect)
        def dispatch(self, request, *args, **kwargs):
            return super().dispatch(request,*args,**kwargs)
        def get(self,request):
            return render(request,'transfer.html')
        # @method_decorator(csrf_protect)  # 可以
        def post(self,request):
            return HttpResponse('OK')

5.django源码剖析

• django有两个配置文件，一个是暴露给用户可以配置的，一个是内部全局的（用户配置了就用用户的，用户没有配置就用自己的）
• 先加载全局配置 给对象设值；然后加载局部配置 再给对象设值；一旦有重复的项，后者覆盖前者。

from django.conf import global_settings
from django.conf import settings

6.auth模块

• 使用auth模块的时候，要用就用它的全套

• 如何创建超级用户(root)

python manage.py createsuperuser

• auth模块常用方法：

1.创建用户
from django.contrib.auth.models import User
# User.objects.create(username=username,password=password)  # 不可用  密码不是加密的
# User.objects.create_user(username=username,password=password)  # 创建普通用户    密码自动加密
#User.objects.create_superuser(username=username,password=password,email='[e-mail]')  # 创建超级用户   需要邮箱数据
2.校验用户名和密码是否正确
from django.contrib import auth
user_obj = auth.authenticate(request,username=username,password=password)
# 必须传用户名和密码两个参数缺一不能
3.保存用户登录状态
auth.login(request,user_obj)
# 只要这句话执行了 后面在任意位置 只要你能拿到request你就可以通过request.user获取到当前登录的用户对象
4.判断当前用户是否登录
request.user.is_authenticated()
5.校验原密码是否正确
request.user.check_password(old_password)
6.修改密码
request.user.set_password(new_password)
request.user.save()  # 千万不要忘了
7.注销
auth.logout(request)
8.校验用户是否登录装饰器
from django.contrib.auth.decorators import login_required
局部配置
@login_required(login_url='/login/')
def index(request):
    pass
全局配置
settings配置文件中 直接配置
LOGIN_URL = '/login/'
@login_required
def index(request):
    pass
# 如果全局配置了 局部也配置  以局部的为准

7.扩展auth_user表字段

    方式1
    利用一对一外键字段关系
    class UserDetail(models.Model):
        phone = models.BigIntegerField()
        user = models.OneToOneField(to='User')

    方式2
    利用继承关系
    from django.contrib.auth.models import AbstractUser
    class Userinfo(AbstractUser):
        phone = models.BigIntegerField()
        register_time = models.DateField(auto_now_add=True)

        # 一定要注意 还需要去配置文件中配置
        AUTH_USER_MODEL = 'app01.Userinfo'  # 应用名.表名
        #之前所有的auth模块功能也全适用于扩展好的表