Django REST Framework SessionAuthentication 似乎不起作用？

Question

我为 AJAX Web 应用程序（以及未来的本地客户端）配置了 Django REST API 用于 SessionAuthentication、TokenAuthentication 和 OAuth2Authentication。

Token en OAuth2 身份验证工作正常，但 SessionAuthentication 的行为还没有像我希望的那样工作。

我目前有两个配置相同的 REST API：

http://api.sandbox.dev:8080/ 和 http://www.sandbox.dev:8080/api/

我的 AJAX 网络应用位于 http://www.sandbox.dev:8080。

代码：

• Django 设置：https://github.com/kristofvbk/sandbox-django/blob/master/sandbox/settings.py
• JavaScript REST 客户端：https://github.com/kristofvbk/sandbox-django/blob/master/sandbox/www/static/js/jquery.rest.js
• AJAX 网络应用程序：https://github.com/kristofvbk/sandbox-django/blob/master/sandbox/www/templates/ajax/session.html

每当我从 www.sandbox.dev 对 api.sandbox.dev 上的 API 进行 AJAX 调用时，我都会收到“403 Forbidden”错误。我认为我做了所有正确的事情来让事情跨域工作还是我错过了什么？

提前感谢任何帮助或提示！

亲切的问候， 克里斯托夫

Answer 1

如果您使用 Apache mod_wsgi 来提供服务，您可能需要将以下内容添加到您的 VirtualHost 配置文件中，因为授权标头已被 mod_wsgi 剥离。您需要将以下内容添加到您的 VirtualHost 配置中：

WSGIPassAuthorization On

进一步参考：http://django-rest-framework.org/api-guide/authentication.html#unauthorized-and-forbidden-responses

Answer 2

这应该可行：

jquery.rest.js

$.ajax({
    xhrFields: {withCredentials: true},
    ...
});

settings.py：

CORS_ALLOW_CREDENTIALS = True
CORS_ORIGIN_WHITELIST = ('www.sandbox.dev:8080', )

SESSION_COOKIE_DOMAIN = '.sandbox.dev'
CSRF_COOKIE_DOMAIN = '.sandbox.dev'