将 csrf_token 直接传递给 ajax 发布数据是否安全？答案

【问题标题】：Is it safe to pass csrf_token directly to ajax post data?将 csrf_token 直接传递给 ajax 发布数据是否安全？
【发布时间】：2020-11-15 01:40:56
【问题描述】：

我担心在模板中声明的 ajax 调用中使用 Django 的{{ csrf_token }} 的安全性。考虑以下情况：

    function set_sensitive_data() {
            $.ajax({
                url: "{% url 'some_sensitive_view' %}",
                method: "POST",
                data:{
                    'csrfmiddlewaretoken': "{{ csrf_token }}",
                    'sensitive_data': "{{ some_data }}"
                },
            });
    }

它工作得很好，但有什么特别的原因我不应该这样做吗？我已阅读 Django 文档并知道首选方式是使用 cookie，但这不是我的情况，我不是在询问其他解决方案 - 我只是想知道这种方式是否不安全 如果是，那为什么？

【问题讨论】：

标签： django ajax security django-csrf csrf-token

【解决方案1】：

这很好。 CSRF 令牌不可重复使用，只要您使用 HTTPS，令牌在传输过程中仍处于加密状态。

【讨论】：