将CSRF令牌从Node.js传递到Django

Question

我正在Django(1.5)开发一个简单的多人游戏应用程序.按照这里的示例,我使用单独的Node.js服务器和Socket.io来管理客户端连接.

我的问题分为两部分:

1. 上面的教程@csrf_exempt用于API视图.由于POST不是来自客户端,而是来自Node.js服务器而不是来自localhost,因此对于此视图不使用CSRF保护我到底接触到了什么？

2. 由于我不确定上述内容,我想使用CSRF保护.我试图从Django提供的cookie中提取CSRF令牌(如文档所示)并将其与POST一起发送,但我仍然得到403响应.

game_server.js:

io.configure(function () {
    io.set('authorization', function (data, accept) {
        if (data.headers.cookie) {
            data.cookie = cookie_reader.parse(data.headers.cookie);
            return accept(null, true);
        }
        return accept('error', false);
    });
    io.set('log level', 1);
});

io.sockets.on('connection', function (socket) {

    socket.on('check_word', function (data) {
        values = querystring.stringify({
            word: data,
            sessionid: socket.handshake.cookie['sessionid']
        });

        var options = {
            host: 'localhost',
            port: 8000,
            path: '/node/check_word',
            method: 'POST',
            headers: {
                'X-CSRFToken': socket.handshake.cookie['csrftoken'],
                'Content-Type': 'application/x-www-form-urlencoded',
                'Content-Length': values.length
            }
        };

        var req = http.request(options, function (res) {
            res.setEncoding('utf8');

            res.on('data', function (message) {
                if (message) {
                    console.log(message);
                }
            });
        });

        req.write(values);
        req.end();
    });
});

game.html(仅限脚本部分):

(function ($) {
  var socket = io.connect('localhost', { port: 4000 });

  socket.on('connect', function () {
    console.log("connected");
  });

  word_el = $('#word-input');

  word_el.keypress(function (event) {
    if (event.keyCode === 13) {
      // Enter key pressed
      var word = word_el.attr('value');
      if (word) {
        socket.emit('check_word', word, function (data) {
          console.log(data);
        });
      }

      word_el.attr('value', '');
    }
  });
})(jQuery);

views.py:

@ensure_csrf_cookie
def check_word(request):
    return HttpResponse("MATCH:" + request.POST.get('word'))

任何见解将不胜感激!

Answer 1

经过大量的研究和实验，我解决了这个问题。

我的发现：

1. 在这种特殊情况下，CSRF 不会让我遭受任何有意义的攻击。理论上，它打开了游戏中作弊的途径，但这对于零奖励来说是一个很大的困难（需要伪造会话 ID 并针对当前正在进行的游戏）。然而，在聊天等其他应用程序中，这里的 CSRF 漏洞允许某人冒充另一个用户，这是一个更重要的问题。所以我们更深入地挖掘......

2. 我最初尝试通过 AJAX 标头解决该问题是一个错误。其一，该请求实际上并不是通过 AJAX 发送的。（request.is_ajax()在视图中返回 False。）其次，从 Django 收到的错误页面CSRF cookie not set引用了失败的原因。

所有这些都构成了解决方案：

var options = {
    // snip...
    headers: {
        'Cookie': 'csrftoken=' + socket.handshake.cookie['csrftoken'],
        'Content-Type': 'application/x-www-form-urlencoded',
        'Content-Length': values.length
    }
};

添加正确的'Cookie'标头，请求成功。