CSRF Không thành công: Mã thông báo CSRF bị thiếu hoặc không chính xác

Question

Tôi đang sử dụng Django 1.7 và django-rest-framework.

tôi đã thực hiện một API trả về cho tôi một số dữ liệu JSON đặt này trong tôi settings.py

REST_FRAMEWORK = { 
    'DEFAULT_PERMISSION_CLASSES': ('rest_framework.permissions.AllowAny',), 
    'DEFAULT_RENDERER_CLASSES': (
    # 'rest_framework.renderers.XMLRenderer', 
    'rest_framework.renderers.JSONRenderer', 
    # 'rest_framework.renderers.BrowsableAPIRenderer', 
    ) 
} 

Khi tôi thực hiện GET cuộc gọi, nó sẽ trả cho tôi tất cả các dữ liệu, nhưng khi tôi thử với PUT/PATCH tôi nhận được:

--------Response Headers--------- 
Status Code: 403 
Date: Wed, 29 Oct 2014 18:51:42 GMT 
Vary: Cookie 
Server: WSGIServer/0.1 Python/2.7.8 
Allow: GET, POST, PUT, PATCH, HEAD, OPTIONS 
X-Frame-Options: SAMEORIGIN 
Content-Type: application/json 
--------------------------------- 

--------Response Body----------- 
{"detail": "CSRF Failed: CSRF token missing or incorrect."} 
--------------------------------- 

Điều này chỉ xảy ra khi tôi đăng nhập, nếu tôi ẩn danh tôi có thể PUT/PATCH chính xác.

Tôi đã thử với @csrf_exempt và tôi đã nhận lỗi, tôi đã bao gồm rest_framework.permissions.AllowAny trong bối cảnh ...

Tôi không có ý tưởng những gì đang xảy ra. Có ai biết vấn đề là gì không?

Answer 1

Khi bạn đang sử dụng SessionAuthentication, bạn đang sử dụng xác thực của Django thường yêu cầu phải kiểm tra CSRF. Django REST Framework thực thi điều này, chỉ cho SessionAuthentication, vì vậy bạn phải vượt qua mã thông báo CSRF trong tiêu đề X-CSRFToken.

Django documentation cung cấp thêm thông tin về truy xuất mã thông báo CSRF bằng jQuery và gửi yêu cầu. Mã thông báo CSRF được lưu dưới dạng cookie được gọi là csrftoken mà bạn có thể truy xuất từ ​​phản hồi HTTP, thay đổi tùy thuộc vào ngôn ngữ đang được sử dụng.

Nếu bạn không thể truy lục cookie CSRF, đây thường là dấu hiệu cho thấy bạn không nên sử dụng SessionAuthentication. Tôi khuyên bạn nên xem xét TokenAuthentication hoặc OAuth 2.0 tùy theo nhu cầu của bạn.

Answer 2

tôi đã vấn đề tương tự, tôi đã bọc URL của tôi dưới csrf_exempt phương pháp như -

from django.views.decorators.csrf import csrf_exempt 

url(r'^api/v1/some-resource$', csrf_exempt(SomeApiView.as_view())),