@csrf_exempt在基于通用视图的类上不起作用

Question

class ChromeLoginView(View):

     def get(self, request):
          return JsonResponse({'status': request.user.is_authenticated()})

     @method_decorator(csrf_exempt)
     def post(self, request):
          username = request.POST['username']
          password = request.POST['password']
          user = authenticate(username=username, password=password)
          if user is not None:
                if user.is_active:
                     login(request, user)
                     return JsonResponse({'status': True})
          return JsonResponse({'status': False})

我希望该帖子确实被csrf停止了，但是它返回403错误。

但是，如果删除该装饰器并在URLConf中执行此操作

url(r'^chrome_login/', csrf_exempt(ChromeLoginView.as_view()), name='chrome_login'),

它会工作。

这里发生了什么？它不应该工作，因为我猜那是method_decorator所做的。我正在使用python3.4和django1.7.1

任何建议都很好。

Answer 1

你需要装饰工作dispatch方法csrf_exempt。它所做的是将csrf_exempt视图函数本身的属性设置为True，然后中间件在（最外面的）视图函数中对此进行检查。如果只需要修饰几种方法，则仍然需要csrf_exempt在该dispatch方法上使用，但是可以csrf_protect在例如上使用put()。如果GET，HEAD，OPTIONS或TRACE使用HTTP方法不管你把装修与否也不会被选中。

class ChromeLoginView(View):
    @method_decorator(csrf_exempt)
    def dispatch(self, request, *args, **kwargs):
        return super(ChromeLoginView, self).dispatch(request, *args, **kwargs)

    def get(self, request):
        return JsonResponse({'status': request.user.is_authenticated()})

    def post(self, request):
        username = request.POST['username']
        password = request.POST['password']
        user = authenticate(username=username, password=password)
        if user is not None:
            if user.is_active:
                login(request, user)
                return JsonResponse({'status': True})
        return JsonResponse({'status': False})