Flask与Django如何处理跨站请求伪造（CSRF）

跨站请求伪造（CSRF）是一种网络攻击方式，攻击者通过某种手段使得受害者在不知情的情况下发送一个请求到目标网站，而该网站认为这个请求是受害者故意发送的。为了防止CSRF攻击，Flask和Django都提供了相应的保护机制。

在Flask中，可以使用flask-wtf扩展来处理CSRF保护。首先，安装flask-wtf：

pip install flask-wtf

然后，在Flask应用中启用CSRF保护：

from flask import Flask
from flask_wtf.csrf import CSRFProtect

app = Flask(__name__)
app.config['SECRET_KEY'] = 'your_secret_key'
csrf = CSRFProtect(app)

在Django中，CSRF保护已经内置在框架中。在Django应用的settings.py文件中，确保MIDDLEWARE设置中包含django.middleware.csrf.CsrfViewMiddleware：

MIDDLEWARE = [
    # ...
    'django.middleware.csrf.CsrfViewMiddleware',
    # ...
]

此外，在Django表单中，需要使用{% csrf_token %}模板标签来生成一个隐藏的CSRF令牌：

<form method="post">
  {% csrf_token %}
  <!-- 其他表单字段 -->
  <input type="submit" value="提交">
</form>

在Flask中，可以使用flask-wtf提供的csrf_token函数来生成CSRF令牌：

<form method="post">
  {{ csrf_token }}
  <!-- 其他表单字段 -->
  <input type="submit" value="提交">
</form>

当用户提交表单时，Flask和Django会自动验证CSRF令牌，确保请求是从受信任的用户操作发出的。这样就有效地防止了CSRF攻击。