当后端和前端分离时,Django CSRF

Question

在搜索互联网之后,人们通常会处理这种情况---前端是由django视图函数生成的,它可以向用户发送csrf令牌的cookie.当用户使用ajax向服务器发出请求时,人们可以重写将csrf发送到服务器的ajaxSend行为.

但是,我的情况是我的前端完全与后端分离,即我的前端是在运行nginx的专用服务器中,我只有一个html使用hashbang提供所有不同的页面.我的后端使用不同的域名在不同的服务器上运行,在这种情况下,客户端如何获取csrf cookie？我的后端只提供了json api返回.

谢谢.

Answer 1

这篇文章已经很老了，但对于仍然在这里徘徊的人来说：对于客户端 - 服务器设置，例如本机桌面和移动客户端（以及像 OP 一样的独立前端），最好使用 Django Rest Framework 的令牌身份验证。关联

Answer 2

如果您查看 CRSF 令牌源：您可以看到所有 csrf_middleware 都会根据 post 值检查 cookie。您只需要将 post 值返回到您的服务器，因为 cookie 应该已经通过 ajax 设置了。如果您查看模板标记源，您会发现它只是从上下文中取出变量。要么将其从上下文中拉出（如果可用），要么直接调用上下文处理器，将其保留在响应中。现在您只需将其作为 POST 变量 crsf_token 发送回来。