Передача маркера csrf на Stripe

Question

Я использую stripe.js для платежей по полосе. Мне нужно настроить callback wenhook для получения запроса от полоски.

Поскольку webhook размещен на полосе - я отметил его как csrf_excempt.

1. Есть ли риск с этим видом csrf_excempt?
2. Если у меня должна быть защита csrf на этом представлении, как я могу передать и вернуть токены csrf из полосы?

Answer 1

Это не сработает. Определенно отключить csrf для обратного вызова из Stripe.

Даже если вы ..

• прошел csrf_token в дисковую
• нашла способ, чтобы получить полосу, чтобы получить возможность отправлять тот же маркер обратно в обратном вызове URL

Маркер будет неприменим в этот момент, поскольку токен предназначен только для вашего текущего сеанса браузера (обычно это файл cookie).

Маркер CSRF генерируется по каждому запросу и отправляется в браузер для хранения в файле cookie. Stripe не будет иметь этот файл cookie, и, таким образом, вы получите ошибку CSRF одинаково.

Answer 2

Вы также можете рассмотреть возможность использования только django-stripe-payments в будущем.

Answer 3

В принятом ответе говорится, что нельзя использовать токен CSRF с обратными вызовами полосы.

Рекомендованный подход для обеспечения безопасности в Stripe Webhook Documentation заключается в использовании идентификатора из входящего webhook для отправки запроса на Stripe для получения полной информации о мероприятии.