将csrf令牌传递给Stripe

Question

我使用stripe.js进行条纹支付.我需要设置一个回调wenhook来接收来自stripe的请求.

由于webhook是通过条带发布的 - 我已将其标记为csrf_excempt.

1. 提出这个观点有什么风险csrf_excempt吗？
2. 如果我在这个视图上应该有csrf保护,我怎样才能从条带中传递并返回csrf标记？

Answer 1

那不行.绝对禁用来自Stripe的回调的csrf.

即使你..

• 传递csrf_token到条纹
• 找到了一种获取条带的方法,将相同的令牌发回给你的回调网址

此时令牌将无关紧要,因为令牌仅适用于您当前的浏览器会话(通常是cookie).

CSRF令牌在每次请求时生成,并发送到浏览器以存储在cookie中.Stripe不会有这个cookie,因此你会得到一个CSRF错误.