Django CSRF 机制到底是如何运作的？
问题 1：CSRF 机制的工作原理
客户端向服务器发送请求时，会在请求中携带两个 CSRF Token：一个在请求头 Cookie 中，另一个在请求正文中。Django 服务器从这两个位置获取 Token 并进行比较。如果 Token 相同（字符串字面量相同），则请求被视为有效。
问题 2：CSRF 保护的原理
跨站请求伪造 (CSRF) 攻击者控制受害者的浏览器并在未经受害者许可的情况下向服务器发送请求。由于攻击者无法访问受害者的 Cookie，因此他们无法在请求中携带正确的 CSRF Token。CSRF 机制可以通过比较 Header 和 Body 中的 Token 来检测此类攻击。
问题 3：跨站请求攻击时 Token 仿冒
跨站请求攻击时，攻击者无法获取受害者的 Cookie 或 Body Token。因此，他们无法仿冒正确的 Token 来绕过 CSRF 保护。
浏览器阻止跨域请求，与 Django 的 CSRF 机制无关。Django 的 CSRF 机制用于防止未经授权的请求来自同一域。
详细 Token 比较
- csrftoken：存在于请求的 Cookie 中，是不可变的。
- csrfmiddlewaretoken：存在于请求正文中，在每次 GET 请求后都会变动。
当服务器发送响应时，它会在响应头中设置 Cookie，其中包含 csrftoken。客户端下一次请求时，浏览器会自动在请求头中包含这个 Cookie。csrfmiddlewaretoken 在 GET 请求中生成并在服务器响应的 HTML 中返回。随后，客户端在 POST 请求中包含这个 Token。如果 Header Token 与 Body Token 相同，则请求被视为有效。