标签:not htm 添加 方式 code ready cookie 完全 ssi
遇到一个问题是,CMDB项目的前端删除数据要向后端发送 DELETE 请求,需要验证 CSRF 。但是之前项目一直都是 GET 请求获取的数据,浏览器的 cookies 中没有 csrftoken 的值,而发送请求之前是从 cookies 中获取 csrftoken 的值,没有值也就没法通过验证。所以就要人为的设置一下 cookies 中的 csrftoken 值。
出现这个问题的前提是:
1、习惯ajax方式提交POST等请求;
2、习惯从cookie中找csrftoken;
一般我们认为cookie里的csrftoken是由csrftoken middleware所设置的,事实确实如此,但也不完全是。贴一段CsrfViewMiddleware的代码:
def process_response(self, request, response): if not getattr(request, ‘csrf_cookie_needs_reset‘, False): if getattr(response, ‘csrf_cookie_set‘, False): return response if not request.META.get("CSRF_COOKIE_USED", False): return response # Set the CSRF cookie even if it‘s already set, so we renew # the expiry timer. self._set_token(request, response) response.csrf_cookie_set = True return response
def _set_token(self, request, response): if settings.CSRF_USE_SESSIONS: request.session[CSRF_SESSION_KEY] = request.META[‘CSRF_COOKIE‘] else: response.set_cookie( settings.CSRF_COOKIE_NAME, request.META[‘CSRF_COOKIE‘], max_age=settings.CSRF_COOKIE_AGE, domain=settings.CSRF_COOKIE_DOMAIN, path=settings.CSRF_COOKIE_PATH, secure=settings.CSRF_COOKIE_SECURE, httponly=settings.CSRF_COOKIE_HTTPONLY, ) # Set the Vary header since content varies with the CSRF cookie. patch_vary_headers(response, (‘Cookie‘,))
这段代码的重点在于对CSRF_COOKIE_USED的检查,如果没有设置,middleware会直接返回response而不在cookie里设置csrftoken。
看别人说有三种方法设置CSRF_COOKIE_USED。
1. 手动设置,在view 中添加
request.META["CSRF_COOKIE_USED"] = True
2. 手动调用 csrf 中的 get_token(request) 或 rotate_token(request) 方法。
from django.middleware.csrf import get_token ,rotate_token def server(request): # get_token(request) // 两者选一 # rotate_token(request) // 此方法每次设置新的cookies return render(request, ‘server.html‘)
3. 在HTML模板中添加 {% csrf_token %}
4. 在需要设置cookie的视图上加装饰器 ensure_csrf_cookie()
from django.views.decorators.csrf import ensure_csrf_cookie @ensure_csrf_cookie def server(request): return render(request, ‘server.html‘)
亲测方法2、3、4有效,都能在cookie中设置csrftoken,但是方法1会报错,需要自己生成64位的csrftoken。
request.META[‘CSRF_COOKIE‘]= ‘abc‘ 配合此行代码,cookie中的csrftoken设置成了‘abc’.
所以,如果不想在模板中添加{% csrf_token %}标签,推荐使用方法2中的get_token(request)方法和方法4。
CSRF保护机制的工作原理:https://docs.djangoproject.com/en/1.11/ref/csrf/#how-it-works
参考:http://www.jianshu.com/p/9346bbc3a8f1
标签:not htm 添加 方式 code ready cookie 完全 ssi
原文地址:http://www.cnblogs.com/maple-shaw/p/7688231.html