好的，我已经完成了这个任务，但首先我想说的是，获得 LetsEncrypt 免费的 https 证书要容易得多，我后来做了。
对于此解决方案，您需要安装 openssl。
让我们为我们的 ajax 编写视图
获取公钥。如果我们在项目目录中没有一个，则生成该对。
def public_key(req):
if not os.path.isfile(os.path.join(settings.BASE_DIR, 'form_key.pem')) or not os.path.isfile(os.path.join( settings.BASE_DIR,'form_key_pub.pem')):
check_call(['openssl', 'genrsa', '-out', os.path.join(settings.BASE_DIR,'form_key.pem'), '4096'])
check_call(['openssl', 'rsa', '-pubout', '-in', os.path.join(settings.BASE_DIR,'form_key.pem'), '-out', os.path.join(settings.BASE_DIR,'form_key_pub.pem')])
f = open(os.path.join(settings.BASE_DIR,'form_key_pub.pem'))
key = f.read()
f.close()
return JsonResponse({"publickey": key})
好的，握手。为了 CSRF 保护这个视图，我们需要修补我没有修补的 jCryption javascript 库。我在这里将 AES 密钥保存在会话存储中。
@csrf_exempt
def handshake(req):
if req.method == 'POST':
encb64key = req.POST['key']
encb64key = re.sub(r'[^a-zA-Z0-9/=+]', '', encb64key)
enckey = b64decode(encb64key)
openssl = Popen(['openssl', 'rsautl', '-decrypt', '-inkey', os.path.join(settings.BASE_DIR,'form_key.pem')], stdin = PIPE, stdout=PIPE, stderr=PIPE)
key, stderr = openssl.communicate(enckey)
print stderr
key = re.sub(r'[^a-zA-Z0-9]', '', key)
req.session['form_key'] = key
openssl = Popen(['openssl', 'enc', '-aes-256-cbc', '-pass', 'pass:'+key, '-a', '-e'], stdin = PIPE, stdout = PIPE, stderr = PIPE)
enckey , stderr = openssl.communicate(key)
print stderr
enckey = re.sub('[^a-zA-Z0-9/+=]', '' , enckey)
return JsonResponse({'challenge': enckey})
raise Http404()
让我们为 urls.py 中的视图选择 url
url('^pubkey', public_key, name = 'publickey'),
url('^handshake', handshake, name = 'handshake'),
而最棘手的部分。我们自己的中间件。您需要将其添加到 settings.py 中的 MIDDLEWARE_CLASSES 中。如果您将它放在 myapp 的 views.py 文件中，则类似于“myapp.views.JCryptionMiddleware”。
诀窍是我们仅使用“jCryption”属性发送了错误的 POST 数据。中间件解密此 attr 中的适当数据，并用它重写请求对象中的 POST 数据。阅读 Django 文档中的中间件。
class JCryptionMiddleware(object):
def process_view(self, request, callback, callback_args, callback_kwargs):
jcryptedb64 = request.POST.get('jCryption', '')
if jcryptedb64:
try:
jcrypted = b64decode(jcryptedb64)
p = Popen(['openssl', 'enc', '-aes-256-cbc', '-pass', 'pass:'+request.session['form_key'], '-d'], stdin = PIPE, stdout = PIPE, stderr = PIPE)
qstr, stderr = p.communicate(jcrypted)
print stderr
wasmutable = request.POST._mutable
request.POST._mutable = True
request.POST.__init__(qstr)
request.POST._mutable = wasmutable
except Exception as e:
print e
return None
以及带有表单模板的页面中的客户端代码。
<script src="{{ STATIC_URL }}js/jquery.min.js"></script>
<script src="{{ STATIC_URL }}js/jcryption.js"></script>
<script>
$(function() {
$('form').jCryption({"getKeysURL": "/pubkey", "handshakeURL": "/handshake"});
});
</script>
从我们的 urls.py 中查看 url。
例如，您可以加密您的管理员登录表单。将 login.html 从 django contrib admin 复制到 templates/admin/login.html 并将此 javascript 代码添加到模板中。
达达！不要使用这个，使用 HTTPS。