CSRF（Cross-site request forgery）以及django中的处理方法

CSRF（Cross-site request forgery） 中文名是跨站请求伪造。 简单的说是用户访问了安全的网站A（比如支付宝）并登录，之后用户又访问了问题网站B。网站B包含恶意代码，在访问网站B的时候，网站B的网页偷偷的向网 站A发起post(get)请求进行转账操作。由于你已经登录过网站A，网站A误以为请求是用户自己发起的安全请求。在操作成功后你的钱啥的也不见了。

当前Django的处理方法：

在用户访问网站时为用户生成一个CSRF防范用的token并将token保存到cookie中。每次用户发起请求时需要将token的值作为表单字段一同提交。服务端对用户提交的token值同cookie中的token进行比较，如果相同则认为安全。

由于浏览器对cookie的访问有严格的限制，问题网站B无法访问到网站A的cookie无法正确的设置token。

出处:http://haoluobo.com/2012/07/csrf-django/comment-page-1/#comment-631