Django Rest框架删除csrf

Question

我知道有关于Django Rest框架的答案，但我找不到解决问题的方法。

我有一个应用程序，它具有身份验证和一些功能。我向它添加了一个新的应用程序，它使用Django Rest框架。我只想在此应用程序中使用库。我还想提出POST请求，我总是收到以下回复：

{
    "detail": "CSRF Failed: CSRF token missing or incorrect."
}

我有以下代码：

# urls.py
from django.conf.urls import patterns, url


urlpatterns = patterns(
    'api.views',
    url(r'^object/$', views.Object.as_view()),
)

# views.py
from rest_framework.views import APIView
from rest_framework.response import Response
from django.views.decorators.csrf import csrf_exempt


class Object(APIView):

    @csrf_exempt
    def post(self, request, format=None):
        return Response({'received data': request.data})

我希望在不影响当前应用程序的情况下添加API。因此，我的问题是，我如何才能禁用此应用程序的CSRF？

Answer 1

修改URL。派克

如果您在URL中管理路由。py，您可以使用csrf_emption（）包装所需的路由，以将它们从csrf验证中间件中排除。

import views

from django.conf.urls import patterns, url
from django.views.decorators.csrf import csrf_exempt


urlpatterns = patterns('',
    url(r'^object/$', csrf_exempt(views.ObjectView.as_view())),
    ...
)

或者，作为一个装饰者，一些人可能会发现使用@csrf_豁免装饰者更适合他们的需要

例如，

from django.views.decorators.csrf import csrf_exempt
from django.http import HttpResponse

@csrf_exempt
def my_view(request):
    return HttpResponse('Hello world')

应该把工作做完！

Answer 2

更简单的解决方案：

在views.py中，使用django大括号'CsrfExemptMixin和authentication_classes：

# views.py
from rest_framework.views import APIView
from rest_framework.response import Response
from django.views.decorators.csrf import csrf_exempt
from braces.views import CsrfExemptMixin


class Object(CsrfExemptMixin, APIView):
    authentication_classes = []

    def post(self, request, format=None):
        return Response({'received data': request.data})

Answer 3

为什么会发生这种错误？

发生这种情况是因为DRF使用了默认的Session身份验证方案。DRF的会话认证使用Django的会话框架进行认证，这需要检查CSRF。

如果在视图/视图集中未定义任何身份验证\u类，DRF将使用此身份验证类作为默认类。

'DEFAULT_AUTHENTICATION_CLASSES'= (
    'rest_framework.authentication.SessionAuthentication',
    'rest_framework.authentication.BasicAuthentication'
),

由于DRF需要对相同的视图支持基于会话和非会话的身份验证，因此它只对经过身份验证的用户强制执行CSRF检查。这意味着只有经过身份验证的请求需要CSRF令牌，匿名请求可以在没有CSRF令牌的情况下发送。

如果您使用带有Session身份验证的AJAX样式API，则需要为任何不安全的HTTP方法调用包括有效的CSRF令牌，例如PUT、PATCH、POST或DELETE请求。

那怎么办呢？

现在要禁用csrf检查，您可以创建一个自定义身份验证类CsrfExemptSessionAuthentication，该类扩展自默认的SessionAuthentication类。在这个身份验证类中，我们将覆盖在实际的会话身份验证中发生的强制\u csrf（）检查。

from rest_framework.authentication import SessionAuthentication, BasicAuthentication 

class CsrfExemptSessionAuthentication(SessionAuthentication):

    def enforce_csrf(self, request):
        return  # To not perform the csrf check previously happening

在您的视图中，您可以将身份验证\u类定义为：

authentication_classes = (CsrfExemptSessionAuthentication, BasicAuthentication)

这应该可以处理csrf错误。