将 csrf 令牌传递给 Stripe

Question

我正在使用 stripe.js 进行条带支付。我需要设置一个回调 wenhook 来接收来自 stripe 的请求。

由于 webhook 是通过条带发布的 - 我已将其标记为 csrf_excempt。

1. 制作此视图csrf_excempt 是否有任何风险？
2. 如果我应该在此视图上设置 csrf 保护，我如何从条带中传递和取回 csrf 令牌？

Answer 1

正如接受的答案所说，没有办法将 CSRF 令牌与条带回调一起使用。

Stripe Webhook Documentation 中推荐的安全方法是使用传入 webhook 中的 ID 将请求发送回 Stripe 以获取完整的事件详细信息。

Answer 2

您将来可能还想考虑只使用django-stripe-payments。

Answer 3

那是行不通的。绝对禁用来自 Stripe 的回调的 csrf。

即使你..

• 将csrf_token 传递给条带
• 找到了一种方法让 Stripe 将相同的令牌发布回您的回调 URL

此时令牌将无关紧要，因为令牌仅适用于您当前的浏览器会话（通常是 cookie）。

CSRF 令牌在每次请求时生成并发送到浏览器以存储在 cookie 中。 Stripe 不会有这个 cookie，因此你会得到一个相同的 CSRF 错误。