จะปิดใช้งานการตรวจสอบความถูกต้อง CSRF ของ Django ได้อย่างไร

ฉันได้แสดงความคิดเห็นเกี่ยวกับโปรเซสเซอร์ csrf และมิดเดิลแวร์ในsettings.py:

122 
123 TEMPLATE_CONTEXT_PROCESSORS = (
124     'django.contrib.auth.context_processors.auth',
125 #    'django.core.context_processors.csrf',
126     'django.core.context_processors.request',
127     'django.core.context_processors.static',
128     'cyathea.processors.static',
129 )
130 
131 MIDDLEWARE_CLASSES = (
132     'django.middleware.common.CommonMiddleware',
133     'django.contrib.sessions.middleware.SessionMiddleware',
134 #    'django.middleware.csrf.CsrfViewMiddleware',
135     'django.contrib.auth.middleware.AuthenticationMiddleware',
136     'django.contrib.messages.middleware.MessageMiddleware',
137     'django.middleware.locale.LocaleMiddleware',
138     # Uncomment the next line for simple clickjacking protection:
139     # 'django.middleware.clickjacking.XFrameOptionsMiddleware',
140 )

แต่เมื่อฉันใช้ Ajax เพื่อส่งคำขอ Django ยังคงตอบสนองว่า 'โทเค็น csrf ไม่ถูกต้องหรือขาดหายไป' และหลังจากเพิ่ม X-CSRFToken ในส่วนหัวแล้วคำขอจะสำเร็จ

เกิดขึ้นที่นี่คืออะไร ?

หากคุณต้องการเพียงบางมุมมองที่ไม่ใช้ CSRF คุณสามารถใช้@csrf_exempt:

from django.views.decorators.csrf import csrf_exempt

@csrf_exempt
def my_view(request):
    return HttpResponse('Hello world')

คุณสามารถดูตัวอย่างเพิ่มเติมและสถานการณ์อื่น ๆ ได้ในเอกสาร Django:

• https://docs.djangoproject.com/en/dev/ref/csrf/#edge-cases

หากต้องการปิดใช้งาน CSRF สำหรับมุมมองตามคลาสสิ่งต่อไปนี้ใช้ได้ผลสำหรับฉัน
ใช้ django 1.10 และ python 3.5.2

from django.views.decorators.csrf import csrf_exempt
from django.utils.decorators import method_decorator

@method_decorator(csrf_exempt, name='dispatch')
class TestView(View):
    def post(self, request, *args, **kwargs):
        return HttpResponse('Hello world')

ในsetting.pyMIDDLEWARE คุณสามารถลบ / แสดงความคิดเห็นในบรรทัดนี้:

'django.middleware.csrf.CsrfViewMiddleware',

สำหรับDjango 2 :

from django.utils.deprecation import MiddlewareMixin


class DisableCSRF(MiddlewareMixin):
    def process_request(self, request):
        setattr(request, '_dont_enforce_csrf_checks', True)

ต้องเพิ่มมิดเดิลแวร์นั้นsettings.MIDDLEWAREเมื่อเหมาะสม (เช่นในการตั้งค่าการทดสอบของคุณ)

หมายเหตุ: การตั้งค่าจะไม่เรียกMIDDLEWARE_CLASSESอีกต่อไป

คำตอบอาจไม่เหมาะสม แต่ฉันหวังว่ามันจะช่วยคุณได้

class DisableCSRFOnDebug(object):
    def process_request(self, request):
        if settings.DEBUG:
            setattr(request, '_dont_enforce_csrf_checks', True)

การมีมิดเดิลแวร์เช่นนี้ช่วยในการดีบักคำขอและตรวจสอบ csrf ในเซิร์ฟเวอร์ที่ใช้งานจริง

ปัญหาคือ SessionAuthentication ดำเนินการตรวจสอบความถูกต้อง CSRF ของตนเอง นั่นคือเหตุผลที่คุณได้รับข้อผิดพลาดที่ขาดหายไปของ CSRF แม้ว่าจะมีการแสดงความคิดเห็นว่า CSRF Middleware คุณสามารถเพิ่ม @csrf_exempt ในทุกมุมมอง แต่ถ้าคุณต้องการปิดใช้งาน CSRF และมีการตรวจสอบสิทธิ์เซสชันสำหรับทั้งแอปคุณสามารถเพิ่มมิดเดิลแวร์พิเศษเช่นนี้ -

class DisableCSRFMiddleware(object):

def __init__(self, get_response):
    self.get_response = get_response

def __call__(self, request):
    setattr(request, '_dont_enforce_csrf_checks', True)
    response = self.get_response(request)
    return response

ฉันสร้างคลาสนี้ใน myapp / middle.py จากนั้นนำเข้ามิดเดิลแวร์นี้ใน Middleware ใน settings.py

MIDDLEWARE = [
    'django.middleware.common.CommonMiddleware',
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    #'django.middleware.csrf.CsrfViewMiddleware',
    'myapp.middle.DisableCSRFMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',

]

ที่ทำงานร่วมกับ DRF บน django 1.11

หากคุณต้องการปิดการใช้งานใน Global คุณสามารถเขียนมิดเดิลแวร์ที่กำหนดเองได้เช่นนี้

from django.utils.deprecation import MiddlewareMixin

class DisableCsrfCheck(MiddlewareMixin):

    def process_request(self, req):
        attr = '_dont_enforce_csrf_checks'
        if not getattr(req, attr, False):
            setattr(req, attr, True)

จากนั้นเพิ่มคลาสนี้youappname.middlewarefilename.DisableCsrfCheckในMIDDLEWARE_CLASSESรายการก่อนหน้านี้django.middleware.csrf.CsrfViewMiddleware

CSRF สามารถบังคับในระดับมุมมองที่ไม่สามารถใช้งานได้ทั่วโลก

ในบางกรณีนี่เป็นความเจ็บปวด แต่อืม "เพื่อความปลอดภัย" ต้องรักษาระดับ AAA ไว้

https://docs.djangoproject.com/en/dev/ref/csrf/#contrib-and-reusable-apps

@WoooHaaaa แพ็คเกจของบุคคลที่สามบางส่วนใช้มิดเดิลแวร์ 'django.middleware.csrf.CsrfViewMiddleware' ตัวอย่างเช่นฉันใช้ django-rest-oauth และฉันมีปัญหาเหมือนคุณแม้ว่าจะปิดใช้งานสิ่งเหล่านั้นแล้วก็ตาม แพ็คเกจเหล่านี้อาจตอบสนองคำขอของคุณเช่นกรณีของฉันเนื่องจากคุณใช้มัณฑนากรรับรองความถูกต้องและอะไรทำนองนี้