从 iPhone 应用程序将 csrf_token 添加到我的发布请求中

Question

我有一个 iPhone 应用程序，我想从该应用程序调用一个在其请求中传递参数的后期服务，这样做会导致服务器错误 500。

我已经阅读了 Django 文档 here，但我仍然没有弄清楚如何获得 csrf_token 以及如何将其添加到 AFNetworking AFHTTPRequestOperationManager POST 方法中。

在服务器端，我在MIDDLEWARE_CLASSES 部分添加了django.middleware.csrf.CsrfViewMiddleware，但它似乎不起作用。

我的观点是这样的；我没有做太多，只是希望通过。

from django.core.context_processors import csrf
from django.shortcuts import render_to_response

def foo(request):
   c={}
   c.update(csrf(request))
   if request.method == 'POST':
        return HttpResponseRedirect("Post received");

Answer 1

Django CSRF 中间件使用 cookie 和表单等向页面发送代码，然后确保正确的页面是发送回信息的页面。在这两种情况下，您都必须向服务器发出 GET 请求，如果您正确安装了中间件，它会为您将 CSRF 令牌放入 cookie 中。

查看the documentation了解更多信息。

现在，我注意到您正在使用一个使用 NSURLConnection 的库，因此它应该为您处理 cookie。我得到了这组代码（未经测试），它可以让您提取您在设置文件中指定的 cookie 名称（再次查看上面的文档链接），然后将其放入您的 POST 中。

NSArray *cookies = [[NSHTTPCookieStorage sharedHTTPCookieStorage] cookiesForURL: networkServerAddress];
for (NSHTTPCookie *cookie in cookies) 
{
    // get the right cookie
}

当然，如果你只做 POST 而不先 GET，你就没有 CSRF 令牌要发送！

这就是我们有@csrf_exempt 标签的原因。 (Docs here) 这是 99% 的方法，因为大多数应用程序在执行 POST 之前不会执行 GET。 （在网页中，您必须先执行 GET）。请注意，这仅适用于应用程序仅发送 POST 并且没有会话可言的情况。使用此功能时，您确实需要考虑自己的安全性，以及如何验证给定的应用程序/用户确实是他们声称的身份。以及如何禁止人们从网络浏览器访问此 URL。

TLDR：可能在视图上使用@csrf_exempt，但要小心。