Django - 用于经过身份验证和未经身份验证的用户的 CSRF 令牌？

Question

我想知道 Django 的 CSRF 令牌是否会为 已验证用户和未验证用户自动生成？我很好奇，因为我想制作一个用于发布表单数据的 API，以便任何经过用户身份验证或未经身份验证的用户都可以对 API 端点进行发布调用。但我想知道是否必须将 CSRF 令牌“附加”到每个用户的标头？ （暗示未经身份验证的用户也将拥有 CSRF 令牌）

Answer 1

在使用 Django 的默认身份验证机制时，经过身份验证和未经身份验证的用户都需要有效的 CSRF 令牌。当用户登录时，令牌会轮换。

您是否需要令牌与其说取决于用户是否经过身份验证，不如说取决于身份验证机制。如果身份验证使用会话/cookie 对用户进行身份验证，攻击者可能会使用随每个请求隐式发送的会话信息来伪造请求并执行受害者有权执行的某些操作。另一方面，如果您使用例如令牌认证，令牌必须随每个请求显式发送，攻击者无法知道令牌或伪造使用令牌的请求。