Django 拒绝请求的 CSRF 令牌

Question

我正在用 python 的 Request 库向 django 后端写一篇 Ajax 帖子

代码：

import requests
import json
import sys

URL = 'http://localhost:8000/'

client = requests.session()

client.get(URL)

csrftoken = client.cookies['csrftoken']


data = { 'file': "print \"It works!\"", 'fileName' : "JSONtest", 'fileExt':".py",'eDays':'99','eHours':'1', 'eMinutes':'1' }
headers = {'Content-type': 'application/json',  "X-CSRFToken":csrftoken}
r = requests.post(URL+"au", data=json.dumps(data), headers=headers)

Django 给我一个 403 错误，指出 CSRF 令牌未设置，即使来自 csrf_failure() 的 request.META 显示它已设置。是我遗漏了什么还是我没有发现一个愚蠢的错误？

Answer 1

我问了我的朋友，他发现了问题，基本上你每次发出请求时都必须发送 django 给你的 cookie。

更正：

cookies = dict(client.cookies)
r = requests.post(URL+"au", data=json.dumps(data), headers=headers,cookies=cookies)

Answer 2

您需要将引用者传递给标头，来自 django 文档：

另外，对于 HTTPS 请求，严格的 referer 检查是由 CsrfView 中间件。这是解决中间人问题所必需的 使用独立于会话时在 HTTPS 下可能发生的攻击 nonce，因为 HTTP 的“Set-Cookie”标头是 （不幸的是）被正在与网站交谈的客户接受 HTTPS。 （未对 HTTP 请求进行引用检查，因为 在 HTTP 下，Referer 标头的存在不够可靠。）

所以改变这个：

headers = {'Content-type': 'application/json',  "X-CSRFToken":csrftoken, "Referer": URL}