Django之XSS攻击
XSS是什么：XSS是跨站脚本攻击。
XSS可以获取用户的信息，比如登录凭证Cookie，那样就可以登录用户的账号，但是在django中，XSS 是默认阻止的。因为在django中，a标签是字符串类型的。
比如在评论中提叫script的代码，会以字符串的形式显示出来。
views.py
1msg = [] 2 3def comment(request): 4 if request.method =="GET": 5 return render(request,"comment.html") 6 else: 7 v = request.POST.get("content") 8 msg.append(v) 9 return render(request,"comment.html") 10 11def index(request): 12 return render(request,"index.html",{"msg":msg})
comment.html
1<body> 2 <form action="/comment/" method="post"> 3 <input type="text" name="content"> 4 <input type="submit" value="submit"> 5 </form> 6</body> 7</html>
index.html
1<body> 2 3 <h1>评论</h1> 4 {% for foo in msg %} 5 <div>{{ foo }}</div> 6 {% endfor %} 7 8</body> 9</html>
结果：
但XSS也是可以生效的，那就是使其这个提交的评论是safe的。
index.html
1<body> 2 <h1>评论</h1> 3 {% for foo in msg %} 4 <div>{{ foo|safe }}</div> 5 {% endfor %} 6 7</body> 8</html>
这样的话，只要在前端提交一个script的代码，那么基本上每次访问index页面都会有alert提示。
这样的话，那个script会以代码的形式注入到页面中，并运行。
但是如何不写safe，也可以阻止XSS，也既是要在提交的数据中进行筛选。
views.py
1msg = [] 2 3def comment(request): 4 if request.method =="GET": 5 return render(request,"comment.html") 6 else: 7 v = request.POST.get("content") 8 if "script" in v: 9 return render(request,"comment",{"error":"禁止XSS注入,存在安全隐患"}) 10 else: 11 msg.append(v) 12 return render(request,"comment.html")
comment.html
1<body> <form action="/comment/" method="post"> 2 <input type="text" name="content"> 3 <input type="submit" value="submit">{{ error }} 4 </form></body>
导入from django.utils.safestring import mark_safe 也是可以的
用mark_safe也是可以阻止的。
总结：
阻止XSS的两种方式：
一、在前端模板里标记safe
二、在后端代码中使用模块的方法mark_safe
------------ END -----------