Django REST-Framework CSRF fehlgeschlagen: CSRF Cookie nicht

Question

ich den django Rest Rahmen bin mit API-Aufrufen über IOS auszuführen und ich erhalte die folgenden Fehler "CSRF fehlgeschlagen:. CSRF Cookie nicht gesetzt"

Hier ist meine django API-Code:

class LoginView(APIView): 
    """ 
    List all snippets, or create a new snippet. 
    """ 
    @csrf_exempt 
    def get(self, request, format=None): 
     startups = Startup.objects.all() 
     serializer = StartupSerializer(startups, many=True) 
     return Response(serializer.data) 

    @csrf_exempt 
    def post(self, request, format=None): 
     profile = request.POST 
.... 

Was kann ich tun?

Answer 1

Bei GETs sollten Sie keine Daten ändern, daher ist kein CSRF erforderlich.

Wenn Sie Daten mit einem POST ändern, sollten Sie eine CSRF haben, wenn Sie eine sitzungsbasierte Authentifizierung verwenden. Andernfalls öffnest du ein Sicherheitsloch. Auch wenn Sie glauben, dass Ihr Django-Server iPhone-Apps bedienen wird, gibt es nichts, was Sie davon abhalten könnte, die Pakete auf Ihrem Server zu schnüffeln und dann den Engineering-Zugriff auf den Server mit anderen Arten von Web-Clients rückgängig zu machen. Aus diesem Grund benötigt Django Rest Framework in einigen Fällen eine CSRF. Dies wird in der erwähnt.

Der Pfad um diese Anforderung für POSTs besteht darin, keine Sitzungsauthentifizierung zu verwenden. Beispielsweise könnten Sie BasicAuthentication über HTTPS verwenden. Bei diesem Authentifizierungsmechanismus sollten Sie HTTPS verwenden, um zu verhindern, dass Anmeldeinformationen bei jeder Anforderung übergeben werden.

Answer 2

Wenn noch jemand diese Frage befolgt, ist die direkte Antwort, dass Sie den Decorator für die View-Methode selbst verwenden müssen. Die Methoden get und post, die in der Klasse definiert sind, teilen DRF mit, wie sich die tatsächliche Ansicht verhalten soll. Die vom django Router erwartete Ansichtsmethode wird jedoch erst beim Aufruf von LoginView.as_view() instanziiert.

Die Lösung besteht darin, den csrf_exempt Dekorierer zu urls.py hinzuzufügen. Es könnte wie folgt aussehen:

#file: urls.py 

from django.conf.urls import patterns, url 
from django.views.decorators.csrf import csrf_exempt 

import views 

urlpatterns = patterns('', 
    url('^login/$', csrf_exempt(views.LoginView.as_view())), 
    ... 
) 

Doch wie Mark oben weisen darauf hin, csrf Schutz ist wichtig, um Ihre Sitzungen zu verhindern, entführt zu werden. Ich habe selbst nicht mit iOS gearbeitet, aber ich würde gerne djangos cookie-based csrf tokens verwenden. Sie können den ensure_csrf_cookie Decorator verwenden, um django dazu zu veranlassen, einen csrftoken Cookie mit einer Antwort zu senden, und Ihre POST Anfragen werden validiert, solange Sie diesen Token als X-CSRFToken Header einschließen.

Answer 3

Dies ist eine alte Frage, aber etwas, auf das wir kürzlich gestoßen sind.

DRF deaktiviert CSRF standardmäßig, sofern keine Sitzungsauthentifizierung verwendet wird. Standardmäßig ist NSURLconnection eingerichtet, um mit Cookies umzugehen. Sie müssen der iOS-App ausdrücklich mitteilen, keine Cookies zu verwenden. Dann können Sie bei Bedarf weiterhin die Session-Authentifizierung verwenden und Ihre Ansichten nicht von csrf befreien.

Answer 4

Das Problem, das Sie hier finden, ist, dass Django für die Verarbeitung Ihrer Ansicht verwendet, was immer as_view() Methode zurückgibt, nicht direkt Methode get() oder post().

Daher sollten Sie Ihre klassenbasierte Ansicht in einer der folgenden Weisen schmücken:

1. In Urls.py

 
    urlpatterns = patterns('', 
     url('^login/$', csrf_exempt(views.LoginView.as_view())), 
     ... 
    ) 

2. oder dispatch() Verfahren (pre django 1,9)

 
    from django.utils.decorators import method_decorator 

    class LoginView(APIView): 
     @method_decorator(csrf_exempt) 
     def dispatch(self, *args, **kwargs): 
      ... 

3. oder Klassenansicht selbst (von django 1,9)

 
    from django.utils.decorators import method_decorator 


    @method_decorator(csrf_exempt, name='dispatch') 
    class LoginView(APIView): 
      ... 

Answer 5

Ich hatte das gleiche Problem. Mein Problem war, dass ich aber .as_view() in urls.py auf MyAPIView vergesse. So muss es sein wie:

url(r'$', GetLikesAPI.as_view(), name='list') 

nicht:

url(r'$', GetLikesAPI, name='list') 

Answer 6

In meinem Fall ist es passiert, weil ich verschickt request = 'http://example.com/list/5' am Ende ohne Schrägstrich mit url setzen. Als ich URL zu URL = 'http://example.com/list/5/' änderte, fing alles an zu arbeiten.