Django之基於iframe的ajax偽造

IFRAME是HTML標簽，作用是文檔中的文檔，或者浮動的框架(FRAME)。iframe元素會創建包含另外一個文檔的內聯框架

ajax的理念是不進行瀏覽器頁面刷新的信息獲取更新，也就是局部刷新。

那麼偽造ajax的方式即為將向服務端發送請求返回的數據返回到iframe中，再使用js從iframe中的文檔中取出數據使用。

具體方式簡單舉例：

<form action="/login/" method="post" target="iframe_1" >
        <iframe style="display: none"  id="iframe_1" name="iframe_1" src="" onload="loadIframe();"></iframe>
        <input type="text" name="user" />
        <input type="password" name="pwd" />
        <input type="submit" />
    {% csrf_token %}
</form>

onload函數為

function loadIframe() {
    var str_json = $('#iframe_1').contents().find('body').text();   //找到iframe中的內容
     var obj = JSON.parse(str_json);
　　　console.log(obj.message)
}

python視圖函數：

def login(req):
    if req.method == 'GET':
        return render(req,'app1/login.html')
    if req.method=='POST':
        ret = {'message': 'ajax偽造成功'}
        return HttpResponse(json.dumps(ret))