在过去的两三年里，我一直在研究同时使用 Vue 和 Laravel 的项目，在每个项目开发的开始阶段，我必须问自己 “我将如何将数据从 Laravel 传递到 Vue ？”。这适用于 Vue 前端组件与 Blade 模板紧密耦合的两个应用程序，以及运行完全独立于 Laravel 后端的单页应用程序。
今年十月份我的第二本书《基于Django的电子商务网站设计》出版了，在这本书中我不仅介绍了如何利用Django框架搭建电子商务网站，也论述了如何利用python的requests类对所创建的电子商务产品进行接口测试。在书写极乐口测试代码过程中，我遇到的最大的困难就是如何通过测试程序绕过Django的防止CSRF攻击的插件，通过近一个多月的努力我终于解决了这个问题，但是同时也揭露了Django框架的防止CSRF攻击的插件的漏洞。首先我们来看一下什么是CSRF攻击。
今天开始了django-rest-framework的学习 *** 其实api写起来的话要比前后端一起写要简单很多，因为你不需要关心前端怎么写，主要心思放在后端上面即可，前端的话随便找个模板，然后用vue语法嵌套上去就好了，一样可以做到很好看，实现了前后端的分离，非常的nice，开始学习之路了！加油奥利给 *** 首先需要安装rest-framework *** pip install framework *** 接着在setting-installed-apps中注册 *** INSTALLED_APPS = [ ‘django.contrib.admin’, ‘django.contrib.auth’, ‘django.contrib.contenttypes’, ‘django.contrib.sessions’, ‘django.contrib.messages’, ‘django.contrib.staticfiles’, ‘testAPI.apps.TestapiConfig’, ‘rest_framework’, ‘ajax’, ] *** 注册完成之后路由上的写法也有些不同， URL中 *** from django.urls import path from . import views from .views import Order app_name=’testAPI’ urlpatterns=[ path(”,Order.as_view()),
通常，当存在真正的跨站点请求伪造时，或者Django的CSRF机制没有被正确使用时，就会出现这种情况。至于邮递表格，你须确保:
在 Go Web 编程中，我们可以基于第三方 gorilla/csrf 包避免 CSRF 攻击，和 Laravel 框架一样，这也是一个基于 HTTP 中间件避免 CSRF 攻击的解决方案，其中包含的中间件名称是 csrf.Protect。
顾翔老师开发的bugreport2script开源了，希望大家多提建议。文件在https://github.com/xianggu625/bug2testscript，
作者：Jiangge Zhang 来源：https://blog.tonyseek.com/post/introduce-to-xss-and-csrf/（点击文末阅读原文前往） 那个年代，大家一般用拼接字符串的方式来构造动态 SQL 语句创建应用，于是 SQL 注入成了很流行的攻击方式。在这个年代， 参数化查询已经成了普遍用法，我们已经离 SQL 注入很远了。但是，历史同样悠久的 XSS 和 CSRF 却没有远离我们。由于之前已经对 XSS 很熟悉了，所以我对用户输入的数据一直非常小心。如果输入的时候没有
函数视图是最基本和最常见的视图函数类型。函数视图是一个简单的Python函数，它接收一个HttpRequest对象作为参数，并返回一个HttpResponse对象。函数视图通常用于处理HTTP GET请求，并渲染HTML模板。
使用Django服务网页时，只要用户执行导致页面更改的操作，即使该更改仅影响页面的一小部分，它都会将完整的HTML模板传递给浏览器。但是如果我们只想更新页面的一部分，则不必完全重新渲染页面-这时候就要用到AJAX了。
在我们最近的工作中，构建网站使用的架构是带有 Django REST Framework（DRF）后端的 React 前端。它们是通过在前端使用 axios（前端库）调用后端 API 来交互的。我们还使用了 Redux（前端库）来存储全局的应用程序状态（存在浏览器端）。这是我们首选，因为它允许前后端完全分离。只要我们提前定义好请求的资源列表（后面单个都简称：endpoint）和返回的数据格式，前端和后端就可以并行的进行开发。这也使我们可以轻松的为未来的任何项目创建移动端 App，因为它们仍然可以复用后端 A
在本文中，我们将从Python Web开发人员的角度看处理Web身份验证的最常用方法。
浏览器提供了各种持久化数据的解决方案。当存储令牌时，您应该权衡存储选择与安全风险。
django中form表单设置action后，点提交按钮是跳转到action页面的，比如设置action为login，网址为192.168.1.128，跳转后便会来到192.168.1.128/login，F5刷新也会是重新提交表单对话框，无法回到原页面。
前文再见 REST，你好 GraphQL提到，GraphQL 使得前端按需请求后端数据，前后端接口不再高度耦合，可以大大提高前后端的开发效率，从而快速进行产品迭代。Github v4 版外部 API 只使用 GraphQL，可见 GraphQL 是一个明显的趋势，值得我们去学习和使用。今天就分享一下如何为 Django 配置 GraphQL API。
在Django和Vue前后端分离的时候也会遇到跨域的问题，因为刚刚接触Django还不太了解，今天花了好长的时间，查阅了好多资料现在解决了这个问题，记录一下。
前段时间去面试了一些招聘 Python 软件开发的公司，看看现在的公司都关注 Python 的那些方面。因为疫情原因，现在面试都是电话或者视频面试，也可以约晚上，不用请假，也不影响白天的工作，面试的成本非常低，收益却很高，面的好的话就意味着涨薪水，面的不好就说明自己掌握的还不够，因此面试是一个很好的学习交流形式，推荐大家每 2 年都去面试一波。
补充知识：Django 前后端分离跨域AJAX获取csrftoken及获取cookie时遇到的问题
在django项目里面，我们为了保障项目的安全，一般是有csrf认证，就是前端要带csrf——token到后端，这样在后端验证通过之后，就可以走url的流程了。
表单是Web应用程序中最常用的组件之一，它允许用户提交数据并与Web应用程序交互。在Django中，表单是由Django表单框架处理的，它允许您轻松地创建HTML表单并处理表单数据。
Django默认开启防止csrf(跨站点请求伪造)攻击，在post请求时，没有上传 csrf字段，导致校验失败，报403错误
CSRF全拼为Cross Site Request Forgery，译为跨站请求伪造。
1）安装node.js(https://nodejs.org/en/download/)，根据版本选择32位或64位。
1. 直接请求接口，拿到 csrf_token，设置路由为 /get_csrf_token
在架构设计中，应该考虑将安全防护机制分为多个层次，每个层次都有不同的安全措施和策略，确保全面覆盖系统的安全需求。在架构设计的早期阶段，应该对可能的威胁进行建模和分析，评估系统的风险，以便在设计中考虑相应的安全措施，在架构中加入严格的访问控制，包括身份验证、权限管理和安全策略等，确保只有授权的用户可以进行特定的操作，可以在系统中加入安全日志和监控机制，记录系统的操作和活动，及时发现和响应安全事件，以保证系统安全。
现在是完成了基本功能了，能否动态获取 csrftoken，但是还有一个跨域问题，假如跨域后就无法获取 csrftoken 了。
跨站请求伪造（Cross-Site Request Forgery：CSRF），也被称为 One-Click Attack 或者 Session Riding，是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。与跨网站脚本（XSS）相比，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。
Zabbix是企业IT网络和应用程序监视解决方案。在对其源代码进行例行检查时，我们在Zabbix UI的身份验证组件中发现了CSRF（跨站点请求伪造）漏洞。使用此漏洞，如果未经身份验证的攻击者可以说服Zabbix管理员遵循恶意链接，则该攻击者可以接管Zabbix管理员的帐户。即使使用默认的SameSite=Laxcookie保护，此漏洞也可在所有浏览器中利用。该漏洞已在Zabbix版本4.0.28rc1、5.0.8rc1、5.2.4rc1和5.4.0alpha1中修复。
**跨站请求伪造**（英语：Cross-site request forgery），也被称为 **one-click attack** 或者 **session riding**，通常缩写为 **CSRF** 或者 **XSRF**， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。跟跨站脚本（XSS）相比，**XSS** 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。
本篇题为 使用Vue,Spring Boot,Flask,Django 完成Vue前后端分离开发 将通过一个项目整合(一前端项目对应三个后端项目)，完成一个简单的DEMO
Django的Class based view十分好用，也很灵活。其中DeleteView（ https://docs.djangoproject.com/en/1.10/ref/class-based-views/generic-editing/#django.views.generic.edit.DeleteView ）有点特别蛋疼的，他理想的流程是这样：点击删除 -> 跳转到确认页面 -> 点击确认删除 -> 删除对象 -> 跳转到success_url。
我的博客在导航栏中有一个在线工具跳转，博客中提供了一些比较实用的在线工具，最近两天又添加了一个在线工具，作用是可以查询 docker 官方镜像仓库中指定镜像的版本信息，虽然之前写在线工具的时候就已经掌握了 django + jQuery ajax 的用法，但经过这次的工具更新，我对 ajax 的用法又有了更深层次的理解，所以分享一下我的使用经验。
今天看了 https://hackerone.com/reports/26647 有感。这个漏洞很漂亮，另外让我联想到很多之前自己挖过的漏洞和写过的程序，有感而发。
如果你们是看了Miguel的狗书，或是李辉大大的狼书，一定知道我们在提交表单时，常常会附带上一个隐藏的csrf值，用来防止CSRF攻击。关于CSRF是什么这里就不过多介绍了，大家可以参阅维基百科。那么我们来到前后端分离的世界，CSRF应该如何做呢？因为是前后端分离，所以服务端产生的CSRF值并不能实时更新到页面上，页面的更新全都要依赖客户端去主动请求。那我是不是要每次渲染表单的时候，就去服务器取一次CSRF token呢？这未免太麻烦，我们完全可以减少请求的次数，请求一次，然后在客户端（浏览器）上存起来，要用的时候带上即可。
XSS，即：Cross Site Script，中译是跨站脚本攻击；其原本缩写是 CSS，但为了和网站前端技术领域——层叠样式表(Cascading Style Sheet)有所区分，因而在安全领域叫做 XSS。
CSRF的全称是Cross-site request forgery跨站点请求伪造，也称为一键攻击或会话劫持，它是对网站的一种恶意利用，主要利用的是已授权用户对于站点的信任，无辜的最终用户被攻击者诱骗提交了他们不希望的Web请求。 恶意网站可以通过多种方式来发送此类命令。 例如，特制的图像标签，隐藏的表单和JavaScript XMLHttpRequests都可以在用户不交互甚至不知情的情况下工作。
在我们做任何其他事情之前，我们将使用venv创建一个新的虚拟环境。这将确保我们的软件包配置与我们正在进行的任何其他项目保持良好的隔离。
AJAX（Asynchronous Javascript And XML）翻译成中文就是“异步的Javascript和XML”。即使用Javascript语言与服务器进行异步交互，传输的数据为XML（当然，传输的数据不只是XML,现在更多使用json数据）。
项目主页：adamchainz/django-cors-headers：Django 应用程序，用于处理跨域资源共享 （CORS） 所需的服务器标头 (github.com)
Django 是 Python 语言中最受欢迎的 Web 框架之一。其开箱即用的特性，使得我们可以利用它快速搭建一个传统的 Web 应用。
浏览器在发送请求的时候，会自动带上当前域名对应的cookie内容，发送给服务端，不管这个请求是来源A网站还是其它网站，只要请求的是A网站的链接，就会带上A网站的cookie。浏览器的同源策略并不能阻止CSRF攻击，因为浏览器不会停止js发送请求到服务端，只是在必要的时候拦截了响应的内容。或者说浏览器收到响应之前它不知道该不该拒绝。
在RESTful API中，接口返回的是JSON，JSON的内容对应的是数据库中的数据，DRF是通过序列化（Serialization）的技术，把数据模型转换为JSON的，反之，叫做反序列化（deserialization）。本文就来揭开DRF序列化技术的神秘面纱。
1、在模型类中设置字段为富文本类型，这里需要注意引入的是RichTextUploadingField,以允许上传图片，需要和RichTextField区分开
在网站开发过程中，经常会遇到这样的需求：用户登陆系统才可以访问某些页面，如果用户没有登陆而直接访问就会跳转到登陆界面。
{% csrf_token %}包含了自动生成的令牌，避免跨站点请求伪造(CSRF)
“日防夜防，家贼难防。”“打铁还需自身硬！”养成铁的纪律，有助于铸造坚固的城池。本文从八个方面全面排查你的令牌系统。
目录 不会DRF？源码都分析透了确定不来看？ 快速使用DRF写出接口 序列化和反序列化 drf快速使用 views.py serializer.py urls.py 在settings的app中注册 models.py postman测试 CBV源码流程分析 Django View和DRF APIView的小插曲 DRF之APIView和Request对象分析 APIView的执行流程 Request对象分析 原来的django中没有request.data，造一个！ 不会DRF？源码都分析透了确定不来看？
django 中间件 就类似于是 django 的门户，请求来的时候需要先经过 中间件 才能到达 django 后端（urls），响应走的时候也需要经过 中间件 才能到达 web服务网关接口（wsgif 模块）
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
