Django CSRF 的工作原理
CSRF（跨站请求伪造）是 Django 中保护 Web 应用程序免受恶意请求的一种技术。其原理主要基于浏览器发出的请求携带的两个令牌：
令牌机制
- csrftoken：存在于请求的 Cookie 头中，具有不可变的特性。
- csrfmiddlewaretoken：存在于请求的正文中，每次请求都会动态生成，是不变的。
验证过程
当浏览器发出请求时，Django 服务器会执行以下步骤来验证 CRSF 令牌：
- 提取请求 Cookie 头中的 csrftoken 和请求正文中的 csrfmiddlewaretoken。
- 比较这两个令牌的字符串值。
防范跨站攻击
跨站攻击中，攻击者无法获得受害者的 Cookie 和正文令牌。因此，他们无法构造具有有效令牌的欺骗性请求，从而达到攻击目的。
为什么需要两个令牌？
- csrftoken：防止攻击者操纵第 1 方 Cookie。
- csrfmiddlewaretoken：防止攻击者重用可预测的令牌。
浏览器与 CSRF
即使浏览器默认不允许跨域，Django 仍需要实施 CSRF 保护，因为：
- 攻击者可能绕过浏览器限制。
- Django 处理的请求不一定来自浏览器。
