Джанго allowed_hosts не работает

Question

Мой файл settings.py содержит:

DEBUG = False 
ALLOWED_HOSTS = [u'mydomainxxx.com'] 

Howevever, я могу уволить локон запрос так: curl -X GET https://mydomainxxx.com/api/ -H 'Authorization: Token some token' и я получаю ответ.

Я надеялся, что использование ALLOWED_HOSTS предотвратит такие команды, как curl, чтобы получить ответ от моего API. Это нормальное поведение?

Answer 1

Только для тех, кто хотел бы, чтобы фильтровать по ссылающейся URL, а не на IP-адрес, мы можем использовать следующий промежуточные программное обеспечение:

from django.conf import settings 
from django import http 

class AllowHostsMiddleware(object): 

    def process_request(self, request): 
     referer_url = request.META.get('HTTP_REFERER','') 
     if referer_url.startswith(settings.ALLOWED_REFERER_URL): 
      return None 
     return http.HttpResponseForbidden('<h1>Forbidden</h1>') 

Answer 2

Вы вводите в заблуждение установку ALLOWED_HOSTS с чем-то еще. Он обозначает имена хостов, которые ваш сервер будет слушать; а не имена хостов для подключения хостов. Существует встроенный метод предотвращения этого, но вы можете легко написать промежуточное программное обеспечение для проверки соединения имен хостов.

текущие настройки предотвратит это получить ответ:

curl -X GET http://another_domainxxx.com/api/ -H 'Authorization: Token some token' 

даже если оба mydomainxxx.com и another_domainxxx.com будет решать тот же IP-адрес.

Answer 3

В дополнение к ответу Сельджука. Я думаю, вы можете сделать это, используя запрос CORS Origin. Проверьте https://github.com/ottoyiu/django-cors-headers. Вы найдете CORS_ORIGIN_WHITELIST параметр, который определяет список имен хостов происхождения, которым разрешено делать HTTP-запрос межсайтовой связи.