Люди добрые, объясните на пальцах, каким образом работает и как использовать самому CSRF?
Я думал, что подключил middleware, добавил {% csrf_token %} в каждую post-форму + подвесил context_instance=RequestContext(request) и все, но это счастье выдает 403 - CSRF verification failed. Уже голову сам себе задурил этой ерундистикой, объясните мне как нубу, что как и куда :)
-
Выложи код вьюхи, settings.py и кусочек шаблона.– Андрей БасалыгаCommented 1 мая 2011 в 17:43
-
Ответил в комменте к твоему ответу.– metazetCommented 2 мая 2011 в 10:06
-
Разжеванный ответ с примером на новых версяих Django bovs.org/post/179/Zasita-ot-CSRF-v-Django-na-prostom-primere– Ivan BorshchovCommented 5 дек. 2016 в 20:47
Добавить комментарий
|
2 ответа
Вроде бы все правильно.
А попробуй включить не глобально, а оберни нужную вьюху в декоратор django.views.decorators.csrf.csrf_protect
Ну и протестируй.
-
Так я и декоратор тоже использовал... Короче какая-то магия с этим csrf!– metazetCommented 1 мая 2011 в 17:38
-
В общем RequestContext + декоратор + {% csrf_token %} = все работает :) Только не понимаю, почему post-формы начали требовать csrf, ведь middleware отключен... Точно какая-то магия Django :D– metazetCommented 2 мая 2011 в 10:05
Иногда, когда надо просто сделать и думать особо не хочется, а тем более копаться, я делаю просто, как в документации. Конкретно у меня так, во вьюхе:
from django.core.context_processors import csrf
Затем в самой вьюхе, перед тем как передается словарь в обработчик (у меня это делается через декоратор @render_to('template.html')
, делаем так:
ctx = {
'a': a,
'b': b,
}
ctx.update(csrf(request))
return ctx
Тем самым дополняем наш словарь ctx, чем то, что нам не особо нужно знать. После этого в форму в шаблоне пишем:
<form action="." method="post">
<fieldset>
{% csrf_token %}
<input name="vaau" type="text" />
....
</fieldset>
</form>
Ну и если любопытно, то смотрим исходник, что за зверь это токой и что реально в html-коде страницы сгенерировалось.
-
В коде страницы генерируется скрытое поле со значением, которое загоняется из того, что какой-то магией добавилось в словарь :)) Получается как бы дополнительная проверка. В общем ничего интересного, на самом деле ;) Использовали декоратор, он добавил в передаваемые параметры свои значения, и потом там где нам нужно - мы эти значения использовали, т.е. вставили {% csrf_token %}.– metazetCommented 26 мая 2011 в 9:49