Middleware is a framework of hooks into Django’s request/response processing.
It’s a light, low-level “plugin” system for globally altering Django’s input or output.

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware', # 安全中间件
    'django.contrib.sessions.middleware.SessionMiddleware', # 会话中间件：处理session
    'django.middleware.common.CommonMiddleware',  # 站点中间件：处理是否带斜杠的
    'django.middleware.csrf.CsrfViewMiddleware',  # CSRF保护中间件：跨站请求伪造的处理
    'django.contrib.auth.middleware.AuthenticationMiddleware', # 认证中间件：提供用户认证服务
    'django.contrib.messages.middleware.MessageMiddleware',# 消息中间件：基于cookie或者会话的消息功能
    'django.middleware.clickjacking.XFrameOptionsMiddleware', # X-Frame-Options中间件：点击劫持保护
]

# SessionMiddleware源码
django.contrib.sessions.middleware.SessionMiddleware
process_request(self, request) # 请求来了会触发
process_response(self, request, response) # 请求走了会触发

中间件可以定义五个方法，分别是：（主要的是process_request和process_response）
1.必须掌握
    process_request(self,request)
    process_response(self, request, response)

2.了解即可
    process_view(self, request, view_func, view_args, view_kwargs)
    process_template_response(self,request,response)
    process_exception(self, request, exception)

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    'app01.middleware.MyMiddleWare',  # 自定义中间件
    'app01.middleware.MyMiddleWare1',  # 自定义中间件

]

1 请求来了触发它，从上往下依次执行（在setting中中间件注册的位置）
    def process_request(self, request):
    如果返回None，就继续往下走
    如果返回四件套之一，直接就回去了
    
2 在这里面写请求来了的一些判断
3 request.META.REMOTE_ADDR  # 客户端地址
4 request.META.HTTP_USER_AGENT  # 客户端类型

#自定义中间件示例
from django.utils.deprecation import MiddlewareMixin

class MyMiddleWare(MiddlewareMixin):
    def process_request(self, request):
        print('请求来了0000')
 

class MyMiddleWare1(MiddlewareMixin):
    def process_request(self, request):
        print('请求来了1111')

# 导入MiddlewareMixin模块
from django.utils.deprecation import MiddlewareMixin
from django.shortcuts import render, HttpResponse,redirect

# 定义中间件的类，它继承MiddlewareMixin
class MyMiddleWare(MiddlewareMixin):
    def process_request(self, request):
        print('请求来了0000')
        # return HttpResponse('不让你来了')

    def process_response(self, request, response):
        print('请求走了0000')
      
        return response  # 一定要return response

# 定义中间件的类，它继承MiddlewareMixin
class MyMiddleWare1(MiddlewareMixin):
    def process_request(self, request):
        print('请求来了1111')

    def process_response(self, request, response):
        print('请求走了1111')
        return response

def process_view(self, request, view_func, view_args, view_kwargs):
    
    """
    该方法有四个参数：
    request 是HttpRequest对象。
    view_func 是Django即将使用的视图函数。 （它是实际的函数对象，而不是函数的名称作为字符串。）
    view_args 是将传递给视图的位置参数的列表.
    view_kwargs 是将传递给视图的关键字参数的字典。 view_args和view_kwargs都不包含第一个视图参数（request）。    
    """      
    print('我是process view')

    # 如果return None，会执行执行视图函数
    # 手动执行了视图函数
    # response=view_func(request,view_args, view_kwargs)
    # 返回response，视图函数就不执行了
    return HttpResponse('ddddd')

def process_exception(self, request, exception):
    """
    该方法有两个参数：
    request 是HttpRequest对象
    exception 是视图函数异常产生的Exception对象。
    """       
    # 记录错误日志
    print(exception)
    print('出错了')

# 该方法对视图函数返回值有要求，必须是一个含有render方法类的对象，才会执行此方法

def process_template_response(self,request,response):
    """
    该方法有两个参数：
    request 是HttpRequest对象
    response 是TemplateResponse对象（由视图函数或者中间件产生）
    """
    print('我执行了')
    return response

--------------------------------------------------------------
# views.py
class Test:
    def __init__(self,status,msg):
        self.status=status
        self.msg=msg
    def render(self):
        import json
        dic={'status':self.status,'msg':self.msg}

        return HttpResponse(json.dumps(dic))
def index(response):
    return Test(True,'测试')

https://www.cnblogs.com/liuqingzheng/p/9505044.html
    
1 CSRF或者XSRF：跨站请求伪造
2 攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的但是却完成了攻击者所期望的一个操作，
比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。 
如下：其中Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法用户

3 防范：CSRF攻击防范
    Referer：上一次访问的地址（图片防盗链）
        https://www.lagou.com/gongsi/
    - 在请求地址中添加 token 并验证
    - 在 HTTP 头中自定义属性并验证
    - 把随机字符串放在请求体中

1 中间件不要注释了
2 如果是form表单
<form action="" method="post">
    {% csrf_token %}
    <p>给谁转：<input type="text" name="to_user" id="id_name"></p>
    <p>转多少：<input type="text" name="money" id="id_money"></p>
    <input type="submit" value="转账">

</form>

3 如果是ajax提交：两种方案
       $.ajax({
            url: '/transfer/',
            method: 'post',
            //data: {to_user: $('#id_name').val(), money: $('#id_money').val(),csrfmiddlewaretoken:$('[name="csrfmiddlewaretoken"]').val()},
            data: {to_user: $('#id_name').val(), money: $('#id_money').val(),csrfmiddlewaretoken:'{{csrf_token}}'},
            success: function (data) {
                console.log(data)

            }
        })

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <script src="/static/jquery-3.3.1.js"></script>
    <script src="/static/jquery.cookie.js"></script> //用jquery的插件
    <title>Title</title>
</head>
<body>
<form action="" method="post">
    {% csrf_token %}
    <p>用户名：<input type="text" name="name"></p>
    <p>密码：<input type="text" name="password" id="pwd"></p>
    <p><input type="submit"></p>
</form>
<button class="btn">点我</button>
</body>
<script>
    $(".btn").click(function () {
        var token=$.cookie('csrftoken') // 获取
       
        $.ajax({
            url: '',
            headers:{'X-CSRFToken':token},
            type: 'post',
            data: {
                'name': $('[name="name"]').val(),
                'password': $("#pwd").val(),
            },
            success: function (data) {
                console.log(data)
            }

        })
    })
</script>
</html>

 $.ajax({
            url: '',
            headers:{'X-CSRFToken':token},
            type: 'post',
            data: {
                'name': $('[name="name"]').val(),
                'password': $("#pwd").val(),
            },
            success: function (data) {
                console.log(data)
            }

        })

1 在视图函数上加装饰器
from django.views.decorators.csrf import csrf_exempt,csrf_protect
# 不再检测，局部禁用（前提是全站使用）
# @csrf_exempt
# 检测，局部使用（前提是全站禁用）
@csrf_protect
def csrf_token(request):
　　if request.method=='POST':

        print(request.POST)

        return HttpResponse('ok')
    return render(request,'csrf_token.html')

1 中间件：request对象，response
    -process_request
        -返回None，继续往下走
        -返回response对象，直接返回
    -process_response
        -处理response
    -定义一个类，继承MiddlewareMixin
    -配置文件配置（执行顺序）
2 中间件能干什么
    -全局的登陆认证
    -记录日志（访问日志，登录日志，客户端类型。。。）
    -对ip地址进行限制（一分钟访问十次）
    
3 csrf，xsrf:跨站请求伪造
    
4 django中处理csrf攻击
    1 form表单形式  {% csrf_token %}
    2 ajax提交：手动传，2种方式
    3 ajax提交：放到请求头中
       $.ajax({
            url: '/transfer/',
            headers:{'X-CSRFToken':'sssssss','name':'lqz'},
            method: 'post',
            data: {to_user: $('#id_name').val(), money: $('#id_money').val(),csrfmiddlewaretoken:'{{csrf_token}}'},
            success: function (data) {
                console.log(data)

            }
        })
        
        
4 请求头中的数据，django如何获取
    request.META.get('HTTP_字段名大写')

5 django的csrf中间件
 -全局使用csrf，中间件解开
    -局部禁用：在视图函数上加一个装饰器csrf_exempt
    -全局禁用，中间件加注释
    -局部使用：在视图函数上加一个装饰器csrf_protect

1  配置文件中指定WSGI_APPLICATION = 'day60.wsgi.application'

2  被wsgi服务器管理，一旦有请求进来，会触发application()

3  实际触发WSGIHandler类的__call__传入environ, start_response

4  把environ包装成request对象，执行中间件，执行路由，执行视图函数，返回response

5  最终结束django