在 Varnish 缓存的视图上使用 Django 的 CSRF 保护

Question

我有一个带有使用 CSRF 保护的表单的 Django 视图。我希望当有正常的 GET 请求时，Varnish 缓存这个视图（因为所有用户都需要相同的表单，无需登录）。

所以有两个挑战：

1. 如何在 Varnish 中缓存此页面，而不向用户提供 csrf 隐藏字段的缓存/旧版本？是否可以缓存带有 CSRF 字段的页面？

2. 默认情况下，我的 Varnish 会删除所有 cookie，我怎样才能轻松地让它删除除 csrftoken cookie 之外的所有 cookie？我是否必须设置特定的 CSRF_COOKIE_DOMAIN？

Answer 1

这已经晚了几年了，但这是我最近解决这个问题的方法。

诀窍是使用 varnish 支持的 ESI。我们获取 CSRF 片段并将其粘贴到自己的页面中，在使用 varnish 时通过 ESI 包含它，否则直接包含它（例如运行本地开发服务器时）。

csrf_esi.html:

{% csrf_token %}

csrf_token.html

{% if request.META.HTTP_X_VARNISH_USE_CACHE %}
<esi:include src="{% url 'esi_csrf_token' %}" />
{% else %}
{% include "csrf_esi.html" %}
{% endif %}

urls.py

from django.conf.urls import url
from django.views.generic import TemplateView

urlpatterns = [
    ...
    url(r'csrf_esi.html', TemplateView.as_view(template_name="csrf_esi.html"), name='esi_csrf_token'),
]

csrf_esi.py

from django import template

register = template.Library()

@register.inclusion_tag('csrf_token.html', takes_context=True)
def csrf_token_esi(context):
    return context

settings.py

TEMPLATES = [
    {
        ...
        'OPTIONS': {
            ...
            'builtins': [
                'path.to.csrf_esi',
            ],
        }
    }
]

Varnish config

set req.http.X-Varnish-Use-Cache = true;

您还需要将 csrf_esi.html 页面列入白名单，以便它永远不会被缓存，并添加 set beresp.do_esi = true; 在 vcl_fetch 函数内。我会对此进行更多详细说明，但我没有设置系统的这一部分，而且我自己也不是 100% 清楚。

---

现在，您可以像使用普通 {% csrf_token %} 标记一样简单地使用它：

<form action="">
    {% csrf_token_esi %}
    <button type="submit">Push me</button>
</form>

设置起来相当麻烦，但一旦完成，您就不必再查看它了。

Answer 2

在视图上使用 CSRF 本质上意味着视图的每个渲染本质上都是不同的（即使只有一个隐藏字段的值发生变化）。在这种情况下缓存不起作用。

然而，正如您似乎已经猜到的那样，Django 确实提供了绕过此限制的机制，即 cookies。因此，在第二部分中，需要完成两件事：

1. 设置 Django 发送 CSRF cookie，而不是使用隐藏字段。 （参见：https://docs.djangoproject.com/en /dev/ref/contrib/csrf/#s-caching)
2. 让 Varnish 忽略 Django 发送的 cookie。 （参见：http://www.varnish-cache.org/docs/ trunk/tutorial/cookies.html）

如果请求来自与处理它的域不同的域，则只需在 Django 中设置 CSRF_COOKIE_DOMAIN 。

Answer 3

我在使用 @csrf_protect 和 AJX 时遇到了类似的问题，如果有人使用这个装饰器，这可能会有所帮助

以及向 Varnish 添加例外。确保带有表单的视图和正在发布数据的视图都使用装饰器。

我只在帖子视图上有@csrf_protect，它在本地测试工作正常，但是当我上线时，出现了 403 验证失败的问题，将装饰器添加到页面视图修复了此问题