csrf概念
CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。
攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等
csrf攻击过程
- 用户C打开浏览器，访问受信任网站A，输入用户名和密码请求登录网站A；
- 在用户信息通过验证后，网站A产生Cookie信息并返回给浏览器，此时用户登录网站A成功，可以正常发送请求到网站A；
- 用户未退出网站A之前，在同一浏览器中，打开一个TAB页访问网站B；
- 网站B接收到用户请求后，返回一些攻击性代码，并发出一个请求要求访问第三方站点A；
- 浏览器在接收到这些攻击性代码后，根据网站B的请求，在用户不知情的情况下携带Cookie信息，向网站A发出请求。网站A并不知道该请求其实是由B发起的，所以会根据用户C的Cookie信息以C的权限处理该请求，导致来自网站B的恶意代码被执行。
防御措施
1.开启csrf保护
在创建app实例的时候
from flask import Flask
from flask_wtf.csrf import CSRFProject
app=Flask(__name__)
#开启CSRF保护
CSRFProject(app)2.对页面HTML加上csrf_token 的标签
# coding:utf-8from flask import Blueprint, current_app,make_response
from flask_wtf.csrf import generate_csrf# 构造一个蓝图对象
html = Blueprint("html", __name__)@html.route("/<re(r'.*'):file_name>")
def get_html_file(file_name):'''提供html文件'''# 根据用户指明的html文件名，提供相应的html文件if not file_name:file_name = "index.html"if file_name != "favicon.ico":file_name = "html/" + file_name #使用wtf帮助我们生成csrf_token字符串csrf_token=generate_csrf()#为用户设置cookie值为csrf_token 防止csrf攻击resp=make_response(current_app.send_static_file(file_name))resp.set_cookie("csrf_token",csrf_token)return resp
3.给post请求的ajax中的headers添加“X-CSRFToken”
req_json = JSON.stringify(req_data);$.ajax({url: "/api/v1_0/users",type: "post",data: req_json,contentType: "application/json",//指明向后端发送的是json格式数据dataType: "json",//指明从后端收到的数据是json格式的headers:{"X-CSRFToken":getCookie("csrf_token")},success: function (resp) {if (resp.errno == 0) {//注册成功，引导到主页界面location.href = "/";} else {alert(resp.errmsg);}}})
getCookie（）函数是定义在js中的功能函数，如下：
function getCookie(name) {var r = document.cookie.match("\\b" + name + "=([^;]*)\\b");return r ? r[1] : undefined;
}
1.在客户端向后端请求界面数据的时候，后端会往响应中的 cookie 中设置 csrf_token 的值
2.给post请求的ajax中的headers添加“X-CSRFToken”，添加值也是 csrf_token
3.在用户发起请求以后，会带上这两个值向后台发起请求
4.后端接受到请求，会做以下几件事：
1.从 cookie中取出 csrf_token
2.从headers中取出csrf_token
3.CSRFProtect会为我们自动比较这两个值
如果比较之后两值一样，那么代表是正常的请求，如果没取到或者比较不一样，代表不是正常的请求，不执行下一步操作
另外不要担心黑客能拿到csrf_token值，由于同源策略, 黑客是没办法获取用户浏览器中的csrf_token隐藏域，由于浏览器安全机制,黑客也没办法获取cookie中的csrf_token。
