django 1.3 中使用 jquery 和 $.post 进行 CSRF

Question

在 django 1.3 中，即使使用 ajax，您现在也必须使用 csrf。 我使用 jquery，现在想将 csrf 令牌添加到 $.post 中。我该怎么做？我对 jquery 不是很熟练，所以最好有一个好的描述。

这是一个评级应用程序，当点击星星时就会发送帖子。 我已经看过 django 文档 但不明白在我的情况下该怎么做。我的代码如下：

$(function() {  
            $("#avg").children().not(":input").hide();
            $("#rating-widget").children().not("select").hide();    

            $caption = $("<span/>");

            $("#avg").stars({captionEl: $caption});
            $("#rating-widget").stars({
                inputType: "select",
                cancelShow: false,
                captionEl: $caption,
                callback: function(ui, type, value){
-------------->     $.post($("#rating-widget").attr("action"), {score: value}, function(data){

                    });
                }
            });
               $caption.appendTo("#rating-widget");

});

应该说，javascript不在模板中，而是在静态文件中。 最好将其放入模板中，以便我可以使用 {{ csrf_token }}

提前致谢！

Answer 1

在 django 文档中，您可以找到有关如何进行的简单描述在每个ajax请求中自动包含csrf令牌！

Answer 2

您不必使用表格！只需创建一个绑定到“加星标”帖子的函数的新网址即可。例如

(r'^myapp/star-post/(?P<post_id>.*)/
，如果您向该 url 发送请求，它将在您的数据库中找到该帖子，将该字段更改为“加星标”并向 ajax 返回响应。
然后你可以有一个成功时的回调函数，该函数将相应地更改 CSS（填充星号等）。这样，你就不用担心CSRF了。
但您可能会问，那么跨站点脚本攻击又如何呢？好吧，如果您使用带有 cookie 验证的用户身份验证，则不必担心这一点！啊啊，你就可以走了。
,'myapp.views.myview')

，如果您向该 url 发送请求，它将在您的数据库中找到该帖子，将该字段更改为“加星标”并向 ajax 返回响应。

然后你可以有一个成功时的回调函数，该函数将相应地更改 CSS（填充星号等）。这样，你就不用担心CSRF了。

但您可能会问，那么跨站点脚本攻击又如何呢？好吧，如果您使用带有 cookie 验证的用户身份验证，则不必担心这一点！啊啊，你就可以走了。

Answer 3

将此代码放在您的函数之前。它将处理 CSRF。

$('html').ajaxSend(function(event, xhr, settings) {
    function getCookie(name) {
        var cookieValue = null;
        if (document.cookie && document.cookie != '') {
            var cookies = document.cookie.split(';');
            for (var i = 0; i < cookies.length; i++) {
                var cookie = jQuery.trim(cookies[i]);
                // Does this cookie string begin with the name we want?
                if (cookie.substring(0, name.length + 1) == (name + '=')) {
                    cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                    break;
                }
            }
        }
        return cookieValue;
    }
    if (!(/^http:.*/.test(settings.url) || /^https:.*/.test(settings.url))) {
        // Only send the token to relative URLs i.e. locally.
        xhr.setRequestHeader("X-CSRFToken", getCookie('csrftoken'));
    }
});