在 POST 上获取 403

Question

我正在学习使用 Django Rest Framework 并按照教程进行操作。我根据教程创建了一个简单的索引，它适用于 GET，但不适用于 POST：

@api_view(['GET','POST'])
def game_list(request):
    if request.method == 'GET':
        games = Game.objects.all()
        serializer = GameSerializer(games, many=True)
        return Response(serializer.data)
    elif request.method == 'POST':
        serializer = GameSerializer(data=request.data)
        if serializer.is_valid():
            serializer.save()
            return Response(serializer.data, status=status.HTTP_201_CREATED)
        return Response(serializer.errors, status=status.HTTP_400_BAD_REQUEST)

我将默认设置设置为AllowAny：

REST_FRAMEWORK = {
    # Use Django's standard `django.contrib.auth` permissions,
    # or allow read-only access for unauthenticated users.
    'DEFAULT_PERMISSION_CLASSES': [
        'rest_framework.permissions.AllowAny'
    ]
}

但当我尝试使用POST 使用Firefox RESTClient 进行任何操作时，我仍然得到HTTP 403。 I read 我必须添加一个 X-CSRFToken 标头和 cookie 才能正常工作，但我没有这些。

Answer 1

来自文档：

默认情况下，如果传入请求未通过 CsrfViewMiddleware 执行的检查，则会向用户发送“403 Forbidden”响应。这通常只有在存在真正的跨站请求伪造时才能看到，或者由于编程错误，CSRF 令牌未包含在 POST 表单中。

另外，如官方文档所述，CSRF默认是开启的，你需要在你的AJAX请求中添加一个X-CSRFToken。

这是文档中的代码：

// using jQuery
function getCookie(name) {
    var cookieValue = null;
    if (document.cookie && document.cookie != '') {
        var cookies = document.cookie.split(';');
        for (var i = 0; i < cookies.length; i++) {
            var cookie = jQuery.trim(cookies[i]);
            // Does this cookie string begin with the name we want?
            if (cookie.substring(0, name.length + 1) == (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}

var csrftoken = getCookie('csrftoken');

function csrfSafeMethod(method) {
    // these HTTP methods do not require CSRF protection
    return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method));
}

请记住，文档建议使用 jquery 的 ajaxSetup 方法，这不是推荐的方法，因为它会改变其他脚本使用 ajax 函数的方式，因此最好将特定的 CSRF 代码添加到您的自定义 JS 代码如下：

$.ajax({
    method: 'POST',
    url: 'your.url.com/',
    beforeSend: function(xhr, settings) {
        if (!WU._csrfSafeMethod(settings.type) && !this.crossDomain) {
            xhr.setRequestHeader("X-CSRFToken", csrftoken);
        }
    },
    success: function(msg)
    {}
});

参考：https://docs.djangoproject.com/en/1.9/ref/csrf/#ajax