Flask-WTF中的csrf保护

CSRF 保护

这部分文档介绍了 CSRF 保护。

为何须要 CSRF？

 

Flask-WTF 表单保护你免受 CSRF 威胁，你不须要有任何担忧。尽管如此，若是你有不包含表单的视图，那么它们仍须要保护。

例如，由 AJAX 发送的 POST 请求，然而它背后并无表单。在 Flask-WTF 0.9.0 之前的版本你没法得到 CSRF 令牌。这是为何咱们要实现 CSRF。

实现

为了可以让全部的视图函数受到 CSRF 保护，你须要开启 CsrfProtect 模块:

from flask_wtf.csrf import CsrfProtect

CsrfProtect(app)

 

像任何其它的 Flask 扩展同样，你能够惰性加载它:

from flask_wtf.csrf import CsrfProtect

csrf = CsrfProtect()

def create_app():
    app = Flask(__name__)
    csrf.init_app(app)

 

Note

你须要为 CSRF 保护设置一个秘钥。一般下，同 Flask 应用的 SECRET_KEY 是同样的。

若是模板中存在表单，你不须要作任何事情。与以前同样:

<form method="post" action="/">
    {{ form.csrf_token }}
</form>

 

可是若是模板中没有表单，你仍然须要一个 CSRF 令牌:

<form method="post" action="/">
    <input type="hidden" name="csrf_token" value="{{ csrf_token() }}" />
</form>

 

不管什么时候未经过 CSRF 验证，都会返回 400 响应。你能够自定义这个错误响应:

@csrf.error_handler
def csrf_error(reason):
    return render_template('csrf_error.html', reason=reason), 400

 

咱们强烈建议你对全部视图启用 CSRF 保护。但也提供了某些视图函数不须要保护的装饰器:

@csrf.exempt
@app.route('/foo', methods=('GET', 'POST'))
def my_handler():
    # ...
    return 'ok'

 

默认状况下你也能够在全部的视图中禁用 CSRF 保护，经过设置 WTF_CSRF_CHECK_DEFAULT 为 False，仅仅当你须要的时候选择调用 csrf.protect()。这也可以让你在检查 CSRF 令牌前作一些预先处理:

@app.before_request
def check_csrf():
    if not is_oauth(request):
        csrf.protect()

 

AJAX

不须要表单，经过 AJAX 发送 POST 请求成为可能。0.9.0 版本后这个功能变成可用的。

假设你已经使用了 CsrfProtect(app)，你能够经过 {{ csrf_token() }} 获取 CSRF 令牌。这个方法在每一个模板中均可以使用，你并不须要担忧在没有表单时如何渲染 CSRF 令牌字段。

咱们推荐的方式是在 <meta> 标签中渲染 CSRF 令牌:

<meta name="csrf-token" content="{{ csrf_token() }}">

 

在 <script> 标签中渲染一样可行:

<script type="text/javascript">
    var csrftoken = "{{ csrf_token() }}"
</script>

 

下面的例子采用了在 <meta> 标签渲染的方式， 在 <script> 中渲染会更简单，你无须担忧没有相应的例子。

不管什么时候你发送 AJAX POST 请求，为其添加 X-CSRFToken 头:

var csrftoken = $('meta[name=csrf-token]').attr('content')

$.ajaxSetup({
    beforeSend: function(xhr, settings) {
        if (!/^(GET|HEAD|OPTIONS|TRACE)$/i.test(settings.type) && !this.crossDomain) {
            xhr.setRequestHeader("X-CSRFToken", csrftoken)
        }
    }
})

 

故障排除

当你定义你的表单的时候，若是犯了 `这个错误`_ : 从 wtforms 中导入 Form 而不是从 flask.ext.wtf 中导入，CSRF 保护的大部分功能都能工做(除了 form.validate_on_submit())，可是 CSRF 保护将会发生异常。在提交表单的时候，你将会获得 Bad Request/CSRF token missing or incorrect 错误。这个错误的出现就是由于你的导入错误，而不是你的配置问题。