Django中的crsf问题

Question

我正在尝试学习 django，并且我正在为一些敏感的操作实现 csrf 令牌。 但是当我拦截请求/响应时，我在 cookie 字段中的每个请求和我实际实现了 csrf_token 的网页中都得到 csrf_token，在这些请求中，我得到另一个 csrf 令牌作为数据中的 csrfMiddleware 参数。 所以我想知道为什么我的请求和响应中有两个 csrf_tokens。

POST /demo/login/ HTTP/1.1
Host: xx.xx.xx.xx:8000
User-Agent: xxxxxx
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: http://xx.xx.xx.xx:8000/demo/login/
Content-Type: application/x-www-form-urlencoded
Content-Length: 125
Connection: close
Cookie: csrftoken=n4bSbWP8p9Uce3b5iAxI0UvDG0qQq7B3OwBXisww754LYztEm0wFf9ARLpVM2v7W
Upgrade-Insecure-Requests: 1

csrfmiddlewaretoken=VIqUszlij0OLyTgYEp7V2TRsNUtBqkISmaQZz52G1WYkipyxIP6Sh8WGSjYx2IeL&username=qwerty6&password=password%40123

Answer 1

根据Django documentation：

对于存储在cookie中的值：

为了防止BREACH攻击，令牌不仅仅是秘密；一个随机盐被添加到秘密中并用于对其进行加扰。

对于csrfmiddlewaretoken：

名称为csrfmiddlewaretoken 的隐藏表单字段出现在所有传出的 POST 表单中。同样，该字段的值是秘密的值，其中添加了盐并用于对其进行加扰。每次调用 get_token() 时都会重新生成 salt，以便在每次此类响应中更改表单字段值。

因此，由于以不同的方式加扰，值会有所不同。