CSRF

# CSRF 방어 - Django 예제
# Django는 CSRF 보호가 기본 활성화

# settings.py
CSRF_COOKIE_SECURE = True  # HTTPS에서만 쿠키 전송
CSRF_COOKIE_HTTPONLY = True  # JavaScript에서 쿠키 접근 불가
CSRF_COOKIE_SAMESITE = 'Lax'  # SameSite 설정
CSRF_TRUSTED_ORIGINS = ['https://example.com']  # 신뢰 도메인

# views.py
from django.views.decorators.csrf import csrf_protect, ensure_csrf_cookie
from django.middleware.csrf import get_token
from django.http import JsonResponse

# 템플릿에서 CSRF 토큰 사용
# {% csrf_token %} - 폼에 hidden 필드로 토큰 삽입

@ensure_csrf_cookie  # 쿠키에 CSRF 토큰 설정
def get_csrf_token(request):
    """SPA를 위한 CSRF 토큰 엔드포인트"""
    return JsonResponse({'csrfToken': get_token(request)})

@csrf_protect  # CSRF 검증 강제
def change_password(request):
    """비밀번호 변경 - CSRF 보호 필수"""
    if request.method == 'POST':
        current_password = request.POST.get('current_password')
        new_password = request.POST.get('new_password')

        # 현재 비밀번호 확인 (추가 보안)
        if not request.user.check_password(current_password):
            return JsonResponse({'error': '현재 비밀번호 불일치'}, status=401)

        request.user.set_password(new_password)
        request.user.save()
        return JsonResponse({'message': '비밀번호 변경됨'})

# AJAX 요청에서 CSRF 토큰 전송 (JavaScript)
"""
// 쿠키에서 CSRF 토큰 읽기
function getCookie(name) {
    let cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        const cookies = document.cookie.split(';');
        for (let i = 0; i < cookies.length; i++) {
            const cookie = cookies[i].trim();
            if (cookie.substring(0, name.length + 1) === (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}

// fetch 요청에 CSRF 토큰 포함
fetch('/api/change-password', {
    method: 'POST',
    headers: {
        'Content-Type': 'application/json',
        'X-CSRFToken': getCookie('csrftoken')  // 헤더로 전송
    },
    credentials: 'include',  // 쿠키 포함
    body: JSON.stringify({ new_password: 'newPass123' })
});
"""

# REST Framework에서 CSRF
from rest_framework.decorators import api_view
from rest_framework.response import Response

@api_view(['POST'])
def api_transfer_money(request):
    """
    DRF는 SessionAuthentication 사용 시 CSRF 검증 수행
    TokenAuthentication 사용 시 CSRF 불필요 (토큰 자체가 인증)
    """
    amount = request.data.get('amount')
    to_account = request.data.get('to_account')
    # 송금 처리...
    return Response({'success': True})

// CSRF 방어 - React SPA 예제
import axios from 'axios';
import { useEffect, useState } from 'react';

// Axios 인스턴스 설정 - CSRF 토큰 자동 포함
const api = axios.create({
    baseURL: '/api',
    withCredentials: true,  // 쿠키 포함
});

// 응답에서 CSRF 토큰 쿠키 추출
function getCsrfToken() {
    const name = 'csrftoken';
    const cookies = document.cookie.split(';');
    for (let cookie of cookies) {
        const [cookieName, cookieValue] = cookie.trim().split('=');
        if (cookieName === name) {
            return decodeURIComponent(cookieValue);
        }
    }
    return null;
}

// 요청 인터셉터 - 모든 요청에 CSRF 토큰 추가
api.interceptors.request.use(config => {
    const csrfToken = getCsrfToken();
    if (csrfToken) {
        config.headers['X-CSRFToken'] = csrfToken;
    }
    return config;
});

// CSRF 토큰 초기화 훅
function useCsrfToken() {
    const [isReady, setIsReady] = useState(false);

    useEffect(() => {
        // 앱 시작 시 CSRF 토큰 쿠키 획득
        api.get('/csrf-token')
            .then(() => setIsReady(true))
            .catch(err => console.error('CSRF 토큰 초기화 실패:', err));
    }, []);

    return isReady;
}

// 비밀번호 변경 폼 컴포넌트
function ChangePasswordForm() {
    const csrfReady = useCsrfToken();
    const [formData, setFormData] = useState({
        currentPassword: '',
        newPassword: '',
        confirmPassword: ''
    });
    const [error, setError] = useState('');
    const [success, setSuccess] = useState(false);

    const handleSubmit = async (e) => {
        e.preventDefault();
        setError('');

        if (formData.newPassword !== formData.confirmPassword) {
            setError('새 비밀번호가 일치하지 않습니다');
            return;
        }

        try {
            // CSRF 토큰이 헤더에 자동 포함됨
            await api.post('/change-password', {
                current_password: formData.currentPassword,
                new_password: formData.newPassword
            });
            setSuccess(true);
        } catch (err) {
            if (err.response?.status === 403) {
                setError('세션이 만료되었습니다. 다시 로그인해주세요.');
            } else {
                setError(err.response?.data?.error || '오류가 발생했습니다');
            }
        }
    };

    if (!csrfReady) {
        return 
로딩 중...
;
    }

    return (
        

            {error && 
{error}
}
            {success && 
비밀번호가 변경되었습니다
}

             setFormData({...formData, currentPassword: e.target.value})}
                required
            />
             setFormData({...formData, newPassword: e.target.value})}
                required
            />
             setFormData({...formData, confirmPassword: e.target.value})}
                required
            />
            비밀번호 변경
        
    );
}