Django - Как сделать CSFR на общедоступных страницах? Или, еще лучше, как его использовать?

Question

После прочтения этого: http://docs.djangoproject.com/en/dev/ref/contrib/csrf/#how-to-use-it

Я пришел к выводу, что она не действует, чтобы использовать это для того, когда вы доверяете человеку, который использует страницу, которая вербует его исключение. Это верно?

Я предполагаю, что я не очень понимаю, когда это безопасно использовать это из-за этого заявления:

Это не должно быть сделано для POST формирует , что предназначаться внешние URL-адреса, так что вызовет CSRF токен просочился, что привело к уязвимости.

Причина, по которой это сбивает с толку: для меня «внешний URL» будет страницей, которая не является частью моего домена (т. е. я владею www.example.com и размещаю форму, которая публикуется на www.spamfoo.com). Это, очевидно, не может быть поскольку люди не будут использовать Django для создания форм, которые публикуются на сайтах других людей, но как можно утверждать, что вы не можете использовать защиту CSRF для публичных форм (например, форму для входа)?

Answer 1

С извинениями не понимать конкретный источник вашей путаницы, я скажу, что вопрос, который вы должны задать, - это когда НЕ использовать CSRF-защиту. Вы уже вызвали это дело из документов:

Это не должно быть сделано для POST формы , которые нацелены на внешние URL-адреса, начиная с этого приведет к тому, что токен CSRF будет равен , что приведет к уязвимости.

Если вы публикуете форму в своем домене, вы хотите, чтобы защита CSRF была включена по умолчанию, если у вас нет особых причин ее отключить (что должно быть реже, чем нет).