### Django XSS 和 CSRF 防御系统的最终展示效果 #### 一、CSRF 防御的最终展示效果 在 Django 应用程序中，CSRF 防御的核心目标是阻止恶意站点利用用户的认证会话发起未授权请求。以下是其最终展示效果的关键点： 1. **CSRF Token 自动嵌入表单** 当用户访问一个包含 `<form>` 标签的 HTML 页面时，Django 的 `CsrfViewMiddleware` 中间件会在渲染模板时自动插入 `{% csrf_token %}` 标记[^2]。这将在表单中生成一个隐藏字段，其中存储了一个唯一的 CSRF Token。 ```html <form method="POST"> {% csrf_token %} <!-- 其他表单字段 --> </form> ``` 2. **CSRF Token 校验流程** 用户提交表单时，浏览器会将此 Token 发送到服务器。服务器接收到 POST 请求后，会对以下两部分内容进行校验： - HTTP Cookie 中的 `csrftoken` 值。 - 提交的数据（如 Form Data 或 Header）中的 Token 值。 如果两者匹配，则认为请求合法；否则拒绝该请求并抛出异常[^3]。 3. **Postman 测试场景下的 CSRF 实现** 使用 Postman 进行测试时，可以通过提取页面中的 CSRF Token 并将其作为环境变量传递给后续请求。具体过程包括解析响应内容以获取隐藏字段值，并将其设置为 Headers 或 Body 参数的一部分[^4]。 ```javascript // 提取 CSRF Token 并保存至环境变量 var html_str = pm.response.text(); var tokenMatch = html_str.match("<input type='hidden' name='csrfmiddlewaretoken' value='(.*?)' />"); if (tokenMatch && tokenMatch[1]) { pm.environment.set("csrfToken", tokenMatch[1]); } ``` --- #### 二、XSS 防御的最终展示效果 针对跨站脚本攻击（XSS），Django 默认提供了一些内置的安全特性来减少风险。以下是主要功能及其表现形式： 1. **自动转义输出** 在模板引擎层面，Django 对所有上下文中未经显式标记为安全的内容都会应用自动转义机制。这意味着任何潜在危险字符（例如 `<`, `>`, `&` 等）会被替换为其对应的 HTML 实体编码[^1]。 ```python from django.utils.html import escape unsafe_string = "<script>alert('XSS')</script>" safe_output = escape(unsafe_string) # 输出 "&lt;script&gt;alert('XSS')&lt;/script&gt;" ``` 2. **禁用特定标签和属性** 即使某些开发者关闭了默认的自动转义选项，仍可通过配置限制哪些 HTML 标签或 JavaScript 属性可以被接受。例如，通过自定义过滤器移除敏感关键字[^3]。 3. **Content Security Policy (CSP)** 头部支持 虽然这不是 Django 内置的功能，但推荐结合第三方库（如 `django-csp`）引入 CSP 控制策略。它能进一步约束资源加载路径，从而降低动态注入的风险。 ```python # settings.py MIDDLEWARE += ['csp.middleware.CSPMiddleware'] CSP_DEFAULT_SRC = ("'self'", ) CSP_SCRIPT_SRC = ("'self'", "'unsafe-inline'") ``` --- #### 三、综合演示案例 假设我们构建了一款在线投票系统，下面是如何同时展现 CSRF 和 XSS 防护的实际运行情况： ##### 投票页面设计 ```html {% extends 'base.html' %} {% block content %} <h2>{{ question.question_text }}</h2> {% if error_message %}<p><strong>{{ error_message|escape }}</strong></p>{% endif %} <form action="{% url 'polls:vote' question.id %}" method="post"> {% csrf_token %} {% for choice in question.choice_set.all %} <input type="radio" name="choice" id="choice{{ forloop.counter }}" value="{{ choice.id }}"> <label for="choice{{ forloop.counter }}">{{ choice.choice_text|escape }}</label><br> {% endfor %} <input type="submit" value="Vote"> </form> {% endblock %} ``` 在此例子中： - `{% csrf_token %}` 确保每次提交都附带有效的 Token； - 所有动态生成的文字均经过管道符调用 `|escape` 方法处理，有效规避 XSS 注入隐患。 --- #### 四、总结说明 综上所述，Django 的 XSRF/CSRF 和 XSS 防御体系不仅简单易用而且高度可靠。它们共同作用于保障 Web 应用免受常见网络威胁侵害的同时，也极大程度简化开发人员的工作负担。