Flask-Security CSRF-Token

Question

Ich habe eine Flask-App, die als REST-API-Backend dient. Ich möchte Token-basierte Authentifizierung für das Backend implementieren, aber um das zu tun, muss ich das Benutzer-Token abrufen. Die Flask-Security-Dokumentation besagt eindeutig, dass zum Abrufen des Tokens ein HTTP-POST mit den Authentifizierungsdetails als JSON-Daten zum Authentifizierungsendpunkt ausgeführt werden muss. Leider verstehe ich nicht, wie ich das CSRF-Token abrufen kann, das zur Ausführung einer solchen Anfrage benötigt wird.

Wenn ich die Anmeldeseite/Vorlage verwende, die mit der Erweiterung geliefert wurde, wird das CSRF-Token an den Client in dem ausgeblendeten Feld im Formular übergeben. Die Frage lautet:

Wie kann ich das CSRF-Token abrufen, ohne auf die Anmeldeseite zuzugreifen und diese zu analysieren, z. B. aus einer angularJS-App mit $ http-Methoden oder einer mobilen App?

Offensichtlich konnte ich vermeiden Flask-Sicherheit zu verwenden und die Stücke selbst zu implementieren, aber ich bin relativ unerfahren mit Webapps und ich fühle mich, dass ich das in die falsche Richtung gehen könnte.

Answer 1

Ich habe nicht getestet, dass dies funktioniert, aber aus der kurzen Überprüfung des source code scheint es, dass Sie eine GET-Anfrage an die Login-URL mit dem Inhaltstyp application/json senden müssen. Flask-Security antwortet auf diese Anfrage mit einer JSON-Version des Anmeldeformulars und mit dem Token. Sobald Sie das Token haben, können Sie die POST-Anfrage senden.

Answer 2

hatte ich einen ähnlichen Anwendungsfall und beenden es unter folgendem Beispiel aus dem Kolben-WTF docs Lösung: https://flask-wtf.readthedocs.org/en/latest/csrf.html#ajax über CsrfProtect(app)

So von CSRF Schutz des App, die csrf_token() in allen Vorlagen zur Verfügung steht. Dann können Sie diese leicht über einen Script-Tag zur Verfügung stellen:

<script type="text/javascript"> 
    var csrftoken = "{{ csrf_token() }}" 
</script> 

nun das Token auf Ihre Post-Daten für den Kolben-Sicherheit/Login Endpunkt hinzufügen.

Answer 3

[Schreiben als eine Antwort, da ich nicht genug Ruf Kommentar]

ich genau in gleiche Problem wie Jacopo ausgeführt haben, dass - request.json leer ist und somit get_auth_token() nicht ausgelöst wird .

BTW - Flask Security documentation sagt:

Token basierende Authentifizierung durch Abfrage der Benutzerauthentifizierungstoken durch Ausführen eines HTTP POST mit den Authentifizierungsdaten als JSON-Daten gegen den Authentifizierungs-Endpunkt aktiviert ist.

Also versuchte ich POST, nicht GET (Still gleiches Problem der leeren request.json) Ich rief/login mit JSON-Daten als:

{"email": "test@example.com", "password": "test123"} 

und schickte eine Anfrage mit Postman Client in Google Chrome .

Doch request.json ist leer :(

Edit:. Ich konnte vorwärts bewegen mit Python Wunsch Modul-Details here

Answer 4

ich mit diesem Problem für Stunden letzte Nacht gekämpft.Hier ist, was für mich am Ende arbeiten:

Wenn ich meine App-Instanz erstellen:

app = Flask(__name__) 
app.config.from_object(config_by_name[config_name]) 

# Create database connection object 
app.db = db 
app.db.init_app(app) 

CsrfProtect(app) 

In meinem/login HTML:

<meta name="csrf-token" content="{{ csrf_token() }}"> 

Von Postman:

Hier war eine Alternative, die ich versucht habe, und vielleicht wird das erfolgreicher sein? Dies ist im Grunde die gleiche Antwort, dass die Kolben-Sicherheit Beispiel Apps geben:

Answer 5

Nun, es eine einfache Möglichkeit ist. Visit. Ein Konfigurationselement WTF_CSRF_ENABLED könnte auf False gesetzt werden, um das csrf zu deaktivieren. Dann geht alles wie du willst.