无法在 django 1.10 中禁用 CSRF 检查

Question

我在我的项目中使用 django-1.10，我想在我的项目中禁用 CSRF 检查。为此，我所做的是我创建了一个 CSRFDiable 中间件并将其添加到 CommonMiddleWare 之后的中间件中。同样的过程在 django 1.8 中对我有用，但在 django 1.10 中它不起作用。我也尝试删除django.middleware.csrf.CsrfViewMiddleware，但它对我不起作用。中间件类如下

class DisableCSRF(object):

    def __init__(self, get_response):
        self.get_response = get_response

    def __call__(self, request):
        return self.get_response(request)

    def process_request(self, request):
        setattr(request, '_dont_enforce_csrf_checks', True)


MIDDLEWARE = [

    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'common.middlewares.DisableCSRF',

    # 'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
   ]

我收到POST 请求的错误是

{
    "detail": "CSRF Failed: CSRF token missing or incorrect."
}

Answer 1

全局禁用csrf protection 不是一个好主意。但是，如果您仍然想为基于 rest-framework 的 API 禁用 CSRF，那么您可以做的只是覆盖 django-rest-framework 的 SessionAuthentication 类，将其添加到 django-rest-framework DEFAULT_AUTHENTICATION_CLASSES 设置中即可.你可以这样做

from rest_framework.authentication import SessionAuthentication 

class CsrfExemptSessionAuthentication(SessionAuthentication):

    def enforce_csrf(self, request):
        return  # it will not perform any csrf check

并在你的 rest_framework 设置中添加

REST_FRAMEWORK = {
'DEFAULT_AUTHENTICATION_CLASSES': (
'path of .CsrfExemptSessionAuthentication',  # path of CsrfExemptSessionAuthentication class
'rest_framework.authentication.BasicAuthentication'
),
}

希望对你有用

或者你可以做的是使用token base authentication。