Django 1.3 中的 Ajax CSRF 问题

Question

根据 django 文档，对于 1.3 中的 ajax post 请求（至少使用 Jquery），我们只需要添加此 片段 到主 js 文件。此代码片段从 cookie 中获取 csrftoken，然后为所有 ajax 请求设置它。这是可行的，但是如果 cookie 中不存在 csrftoken 怎么办？我认为 render_to_response 和 render 都会自动检查会话中是否存在 csrftoken，并在 token 不存在时为我们设置它。但他们不是。那么，我需要自己实现吗？或者也许还有另一种方法来处理ajax csrf保护？

Answer 1

当页面上没有已使用 {% csrf_token %} 的表单时，将不会发送 cookie。因此，正如您所指出的，当您尝试在此类页面上使用 Ajax 时，您将收到错误。如果您的网站混合了包含各种表单和 ajax 帖子组合的页面，这将导致不稳定的行为。

此问题已被报告并修复：https://code.djangoproject.com/ticket/15354

补丁中的解决方案将随 1.3.1 一起推出，即 Ensure_cookie_csrf 装饰器。该装饰器在 1.3 或 1.2.5 中不存在

，但是无需等待。只需将此行添加到包含 AJAX 发布 CSRF 表单的任何视图中：

request.META["CSRF_COOKIE_USED"] = True

示例：

def calculator(request):
    request.META["CSRF_COOKIE_USED"] = True
    return render_to_response('calc.html', {'form': CalcForm()})

仅供参考 - 这正是该装饰器的作用。

Answer 2

如果在模板中使用模板标记 {% csrf_token %} 来生成请求，或者如果您调用 get_token （使用来自 django.middleware.csrf 的 request 对象作为参数）。

get_token 函数在 request 对象上设置元信息，该对象又告诉 django.middleware.csrf.CsrfViewMiddleware 中间件设置 cookie。

Answer 3

对于 Ajax，您应该在每个请求中传递 csrf 令牌。对于 jQuery，我使用以下代码：

$.ajaxPrefilter(function(options, originalOptions, jqXHR) {
    if(!options.crossDomain) {
        if(options.data) {
            options.data += "&";
        } else {
            options.data = "";
        }
        options.data += "csrfmiddlewaretoken={{csrf_token}}";
    }
});

Answer 4

我发现解决这个问题的一种方法是使用预先存在的表单作为 AJAX 数据的起点。

<form id="ajax_form" stye="display: none;">{% csrf_token %}</form>

然后，您可以通过 JQuery 的 Serialize 函数在 JavaScript 中使用它：

var data = $('#ajax_form').serialize();
data += "&mydata=69";

您甚至可以在该隐藏表单中使用隐藏字段，这样您就不必使用字符串连接来构建 POST 数据。

Answer 5

如果您使用 @csrf_protect 装饰器，请确保带有表单的视图和正在发布数据的视图都使用该装饰器。

我有类似的问题。我只在帖子视图上有@csrf_protect，它在本地测试工作正常，但是当我上线时，出现了 403 验证失败的问题，将装饰器添加到页面视图修复了此问题