Из документации Django (перевод)
Как это работает:
Защита CSRF основана на следующих вещах:
Файл cookie CSRF, основанный на случайном секретном значении, к которому другие сайты не будут иметь доступа.
Этот файл cookie устанавливается CsrfViewMiddleware
. Он отправляется с каждым ответом, который вызвал django.middleware.csrf.get_token()
(функция, используемая внутри для получения токена CSRF), если он еще не был установлен в запросе.
Для защиты от атак BREACH токен не просто секрет; случайная соль добавляется к секрету и используется для его шифрования.
По соображениям безопасности значение секрета изменяется каждый раз, когда пользователь входит в систему.
Скрытое поле формы с именем «csrfmiddlewaretoken
» присутствует во всех исходящих формах POST. Значение этого поля, опять же, значение секрета с солью, которая добавляется к нему и используется для его шифрования. Соль регенерируется при каждом вызове get_token()
, так что значение поля формы изменяется в каждом таком ответе.
Эта часть выполняется тегом шаблона.
Для всех входящих запросов, которые не используют HTTP GET, HEAD, OPTIONS или TRACE, должен присутствовать файл cookie CSRF, и поле «csrfmiddlewaretoken
» должно присутствовать и быть правильным. Если это не так, пользователь получит ошибку 403.
При проверке значения поля «csrfmiddlewaretoken
», только секрет, а не полный токен, сравнивается с секретом в значении cookie. Это позволяет использовать постоянно меняющиеся токены. Хотя каждый запрос может использовать свой собственный токен, секрет остается общим для всех.
Эта проверка выполняется CsrfViewMiddleware
.
Кроме того, для запросов HTTPS CsrfViewMiddleware
выполняет строгую проверку ссылок. Это означает, что даже если поддомен может устанавливать или изменять файлы cookie в вашем домене, он не может заставить пользователя публиковать в вашем приложении, поскольку этот запрос не будет поступать из вашего собственного точного домена.
Это также относится к атаке «человек посередине», которая возможна под HTTPS при использовании секрета, независимого от сеанса, из-за того, что заголовки HTTP Set-Cookie принимаются (к сожалению) клиентами, даже когда они общаются с сайтом по HTTPS , (Проверка Referer не выполняется для HTTP-запросов, поскольку наличие заголовка Referer недостаточно надежно при HTTP.)
Если установлен параметр CSRF_COOKIE_DOMAIN, реферер сравнивается с ним. Этот параметр поддерживает субдомены. Например, CSRF_COOKIE_DOMAIN = '.example.com' разрешит запросы POST от www.example.com и api.example.com. Если настройка не установлена, то реферер должен соответствовать заголовку HTTP Host.
Расширение допустимых рефереров за пределы текущего хоста или домена cookie можно выполнить с помощью параметра CSRF_TRUSTED_ORIGINS
.
Это гарантирует, что только формы, полученные из доверенных доменов, могут быть использованы для возврата данных POST.
Он намеренно игнорирует запросы GET (и другие запросы, которые определены как «безопасные» в RFC 7231 # section-4.2.1). Эти запросы никогда не должны иметь потенциально опасных побочных эффектов, поэтому атака CSRF с помощью запроса GET должна быть безвредной. RFC 7231 # section-4.2.1 определяет POST, PUT и DELETE как «небезопасные», и все другие методы также считаются небезопасными для максимальной защиты.
Защита CSRF не может защитить от атак «человек посередине», поэтому используйте HTTPS с HTTP Strict Transport Security. Это также предполагает проверку заголовка HOST и отсутствие каких-либо уязвимостей межсайтового скриптинга на вашем сайте (поскольку уязвимости XSS уже позволяют злоумышленнику сделать все, что позволяет уязвимость CSRF, и намного хуже).