Django 1.2 中还需要 {% csrf_token %} CSRF 保护标签吗？

Question

我正在我的网站上测试 CSRF 保护，我发现了一些意外的情况。

我从表单中删除了 {% csrf_token %}，提交仍然有效。我不明白为什么。然后我查看了源代码，意识到令牌仍然位于

元素旁边。我更改了表单的 ID，以确保它确实更新了源代码，确实如此，但隐藏的输入仍然存在。

我正在使用 Django 1.2。 {% csrf_token %} 还需要吗？

干杯

丰富

Answer 1

经过更多调查后发现，如果表单具有 post 方法，则始终会插入 {% csrf_token %} ，否则不会插入。 Django 非常聪明的自动保护。

Answer 2

从文档中：

在 Django 1.1 中，模板标签不存在。相反，使用了重新编写 POST 表单以包含 CSRF 令牌的后处理中间件。如果您要从 1.1 或更早版本升级站点，请阅读本节和 升级注释如下。

http://docs.djangoproject.com/ en/dev/ref/contrib/csrf/#legacy-method