推荐答案
在 Django 模板中使用 csrf_token 标签的步骤如下：
在表单中添加
csrf_token标签： 在 Django 模板中，如果你有一个表单需要提交数据，通常需要在表单内部添加{% csrf_token %}标签。这个标签会生成一个隐藏的输入字段，包含 CSRF 令牌。<form method="post"> {% csrf_token %} <!-- 其他表单字段 --> <input type="text" name="username"> <input type="submit" value="Submit"> </form>确保视图函数处理 POST 请求时启用了 CSRF 保护： 在 Django 中，默认情况下，所有处理 POST 请求的视图函数都会自动启用 CSRF 保护。你不需要手动启用它，除非你明确禁用了 CSRF 保护。
from django.views.decorators.csrf import csrf_protect @csrf_protect def my_view(request): # 处理表单提交的逻辑 pass在 AJAX 请求中手动添加 CSRF 令牌： 如果你使用 AJAX 提交表单数据，需要手动将 CSRF 令牌添加到请求头中。
-- -------------------- ---- ------- -------- --------------- - --- ----------- - ----- -- ---------------- -- --------------- --- --- - ----- ------- - --------------------------- --- ---- - - -- - - --------------- ---- - ----- ------ - ------------------ -- -------------------- ----------- - -- --- ----- - ----- - ----------- - ----------------------------------------------- - ---- ------ - - - ------ ------------ - ----- --------- - ----------------------- ------------------------ - ------- ------- -------- - -------------- ---------- --------------- ------------------ -- ----- ---------------- ------ ------- -- ---
本题详细解读
什么是 CSRF 保护？
CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种常见的网络攻击方式。攻击者通过伪造用户的请求，诱使用户在不知情的情况下执行某些操作。为了防止这种攻击，Django 提供了 CSRF 保护机制。
csrf_token 标签的作用
csrf_token 标签在 Django 模板中用于生成一个 CSRF 令牌。这个令牌是一个随机字符串，与用户的会话相关联。当用户提交表单时，Django 会验证这个令牌，以确保请求是来自合法的用户，而不是来自恶意网站。
为什么需要在 AJAX 请求中手动添加 CSRF 令牌？
在传统的表单提交中，csrf_token 标签会自动生成一个隐藏的输入字段，并在提交表单时将其包含在请求中。然而，在 AJAX 请求中，表单数据是通过 JavaScript 手动构造的，因此需要手动将 CSRF 令牌添加到请求头中。
如何获取 CSRF 令牌？
在 Django 中，CSRF 令牌通常存储在浏览器的 cookie 中，名为 csrftoken。你可以通过 JavaScript 读取这个 cookie，并将其添加到 AJAX 请求的头部。
注意事项
- 如果你在 Django 中禁用了 CSRF 保护（例如在开发环境中），则不需要使用
csrf_token标签。 - 在某些情况下，你可能需要在视图函数中手动禁用 CSRF 保护，例如在 API 视图中。你可以使用
@csrf_exempt装饰器来实现这一点。
from django.views.decorators.csrf import csrf_exempt
@csrf_exempt
def my_api_view(request):
# 处理 API 请求的逻辑
pass通过以上步骤，你可以在 Django 模板中正确使用 csrf_token 标签，并确保你的应用程序免受 CSRF 攻击的威胁。