Django csrf_exempt не работает с SessionAuthentication

Question

Я использую Django Rest Framework для создания webapp с регистрацией пользователя/логином. Я пытаюсь освободить пользовательский вид регистрации от необходимости наличия токена CSRF. Это то, что мой взгляд выглядит прямо сейчас:

class UserSignUpView(generics.CreateAPIView): 
    permission_classes = [] # FIXME: doesn't seem to be working 
    serializer_class = UserSerializer 

    @method_decorator(csrf_exempt) 
    def post(self, request, *args, **kwargs): 
     super().post(self, request, *args, **kwargs) 

    def get_permissions(self): 
     if self.request.method == 'POST': 
      return (permissions.AllowAny(), TokenHasReadWriteScope()) 
     return False 

Мой settings.py выглядит следующим образом:

REST_FRAMEWORK = { 
    # Use Django's standard `django.contrib.auth` permissions, 
    # or allow read-only access for unauthenticated users. 
    'DEFAULT_AUTHENTICATION_CLASSES': (
     'rest_framework.authentication.BasicAuthentication', 
     'rest_framework.authentication.SessionAuthentication', 
    ), 
    'DEFAULT_PERMISSION_CLASSES': [ 
     'rest_framework.permissions.AllowAny', 
    ] 
} 

Я все еще получаю это на моем выходе серверной Forbidden (CSRF cookie not set.): /users/ и в переднем конце классического CSRF verification failed. Request aborted.

Почему бы не работать? Может ли это иметь какое-то отношение к тому, что я никогда не устанавливал cookie CSRF вручную?

Answer 1

Рамка Django REST уже предотвращает выполнение 0Sпроверки CSRF с использованием csrf_exempt на любых APIView. Вместо этого он явно вызывает проверку CSRF, когда пользователь успешно аутентифицирован с использованием SessionAuthentication. Вы не можете обойти эту проверку и не должны. Регулярное представление Django может не зависеть от сеанса, и в этом случае CSRF-атака невозможна, и вы можете использовать csrf_exempt, чтобы указать это. Когда вы используете SessionAuthentication, вы : уязвимы для атак CSRF, и вам нужна проверка для предотвращения атак. Обход проверки в этом случае неизменно открывает вам уязвимость, поэтому DRF не позволяет вам отключить проверку.

Вы в основном есть два варианта, чтобы исправить это:

• Убедитесь, что пользователь не успешно заверен SessionAuthentication.
• Убедитесь, что файл cookie установлен, и отправьте токен в заголовок запроса X-CsrfToken.