csrf攻击

无论是表单还是ajax，都必须要加上{% csrf_token %}标签，不然就会报错

首先做一个登录页，让用户输入用户名和密码进行登录，登录成功之后跳转的修改密码页面。在修改密码页面输入新密码，点击确认按钮完成密码修改。
登录页需要一个模板文件login.html.修改密码页面也需要一个模板文件change_pwd.html.
显示登录页的视图login，验证登录的视图login_check，显示发帖页的视图change_pwd,处理修改密码的视图change_pwd_action.
加功能：
a)只有用户登录之后才可以进行修改密码操作。
登录装饰器函数。

案例流程图：

图片.png

django防止csrf的方式：

1. 默认打开csrf中间件。
2. 表单post提交数据时加上{% csrf_token %}标签。
   防御原理:
3. 渲染模板文件时在页面生成一个名字叫做csrfmiddlewaretoken的隐藏域。
4. 服务器交给浏览器保存一个名字为csrftoken的cookie信息。
5. 提交表单时，两个值都会发给服务器，服务器进行比对，如果一样，则csrf验证通过，否则失败。