CSRF Security का Overview

CSRF Protection क्या रोकता है

Protection के बिना, एक malicious website एक hidden form embed कर सकती है जो victim की existing login session उपयोग करके आपकी site पर submit होता है, वे actions perform करते हुए जिनसे victim ने कभी agree नहीं किया।

Django का CSRF token हर form submission को उस page से tie करता है जिसने इसे legitimately render किया।

उदाहरण: What CSRF Protection Prevents

Without protection, a malicious website could embed a hidden form that submits to your site using the victim's existing login session, performing actions the victim never agreed to. Django's CSRF token ties every form submission to the page that legitimately rendered it.

<!-- templates/donate.html -->
<form method="post">
    {% csrf_token %}
    <label for="amount">Amount</label>
    <input type="number" id="amount" name="amount">
    <button type="submit">Donate</button>
</form>

Middleware इसे कैसे जांचता है

django.middleware.csrf.CsrfViewMiddleware settings.py में default रूप से enabled है। हर POST request पर, यह form में submitted token को user की session/cookie में stored token से compare करता है, अगर वे match न करें तो request को 403 के साथ reject करते हुए।

उदाहरण: How the Middleware Checks It

django.middleware.csrf.CsrfViewMiddleware is enabled by default in settings.py. On every POST request, it compares the token submitted in the form against the one stored in the user's session/cookie, rejecting the request with a 403 if they don't match.

# settings.py -- CSRF middleware is on by default
MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
]

JavaScript से Token भेजना

एक plain HTML form के बजाय fetch() या AJAX के through एक POST request submit करते समय, CSRF token को cookie से पढ़ा जाना चाहिए और एक request header के रूप में भेजा जाना चाहिए।

उदाहरण: Sending the Token from JavaScript

When submitting a POST request via fetch() or AJAX instead of a plain HTML form, the CSRF token must be read from the cookie and sent as a request header.

// Read the csrftoken cookie Django sets automatically
function getCookie(name) {
    const match = document.cookie.match('(^|;)\\s*' + name + '\\s*=\\s*([^;]+)');
    return match ? match.pop() : '';
}

fetch('/donate/', {
    method: 'POST',
    headers: { 'X-CSRFToken': getCookie('csrftoken') },
    body: new URLSearchParams({ amount: 10 }),
});