Этот вопрос скорее перестраховка, чем вопрос непосредственно о том, как программировать. У меня, как у самоучки, не было возможности задавать подобные вопросы профессионалам, поэтому я стараюсь здесь.
Я прочитал документы в django-docs ( https://docs.djangoproject.com/en/1.3/ref/contrib/csrf/ ) и немного информации на этой странице: http://cwe.mitre.org/top25/#CWE-352
Насколько я понял, django доставляет пользователю токен (какой-то пин-код). И чтобы убедиться, что это действительно он, он должен вернуть его в следующий раз, когда сделает запрос. И некоторые ребята из Google выяснили, что это возможно даже с ajax-запросами, поэтому с версии 1.2.6 у нас также действует новая политика их защиты. А CSRF — это когда кто-то дает мне что-то (плохой, опасный код, поврежденные файлы или что-то в этом роде), притворяясь кем-то другим.
Итак, если у меня есть такой код:
@csrf_exempt
def grab(request):
"""
view to download an item
POST because it stores that a user has downloaded this item
"""
item_id = request.POST.get('item', None)
if not loop: return HttpResponseBadRequest('no item id provided')
item = Item.objects.get(pk=int(item_id))
это должно быть сохранено, так как я не даю доступ к базе данных или какой-либо части моего приложения, прежде чем пытаться преобразовать данное значение в целое число. И если я неправильно запишу, что кто-то скачивает файл, то не будет слишком много вреда (в данном случае его почти нет). Предполагая, что я буду писать счета, полагаясь на это представление, освобождение от CSRF было бы очень плохой идеей (правильно?).
Я также не понимаю, почему кто-то не может украсть CSRF-токен у пользователя и использовать его, чтобы обмануть меня (или пользователя). Итак, у меня есть несколько вопросов по этой теме:
1) верны ли мои предположения сверху?
2) может кто-нибудь сказать мне, что (и, возможно, как) какой-то не очень хороший парень мог бы использовать вид выше, чтобы делать грязные трюки, и что бы это было?
3) является ли CSRF примером атаки «человек посередине», это просто связано с ней или это что-то совершенно другое?
4) Любые ценные ссылки для дальнейшего чтения о таких опасностях?
Возможно, некоторые из этих вопросов кажутся не слишком хорошо информированными, но я пытаюсь преодолеть это. Я был бы очень рад, если бы кто-то мог мне помочь.
