【发布时间】：2017-01-08 08:04:34
【问题描述】：
这是一个教育项目，不用于生产。我不打算让用户登录作为其中的一部分。
我可以在没有用户登录的情况下使用 CSRF 令牌对 Django 进行 POST 调用吗？我可以在不使用 jQuery 的情况下做到这一点吗？我在这里超出了我的深度，并且肯定会混淆一些概念。
对于 JavaScript 方面，我发现了这个 redux-csrf 包。我不确定如何使用 Axios 将它与我的 POST 操作结合起来：
export const addJob = (title, hourly, tax) => {
console.log("Trying to addJob: ", title, hourly, tax)
return (dispatch) => {
dispatch(requestData("addJob"));
return axios({
method: 'post',
url: "/api/jobs",
data: {
"title": title,
"hourly_rate": hourly,
"tax_rate": tax
},
responseType: 'json'
})
.then((response) => {
dispatch(receiveData(response.data, "addJob"));
})
.catch((response) => {
dispatch(receiveError(response.data, "addJob"));
})
}
};
在 Django 方面，我已经阅读了 CSRF 上的 this documentation，以及一般使用基于类的视图的 this。
这是我目前的看法：
class JobsHandler(View):
def get(self, request):
with open('./data/jobs.json', 'r') as f:
jobs = json.loads(f.read())
return HttpResponse(json.dumps(jobs))
def post(self, request):
with open('./data/jobs.json', 'r') as f:
jobs = json.loads(f.read())
new_job = request.to_dict()
id = new_job['title']
jobs[id] = new_job
with open('./data/jobs.json', 'w') as f:
f.write(json.dumps(jobs, indent=4, separators=(',', ': ')))
return HttpResponse(json.dumps(jobs[id]))
我尝试使用 csrf_exempt 装饰器只是为了暂时不必担心这个问题，但这似乎不是它的工作原理。
我已将{% csrf_token %} 添加到我的模板中。
这是我的getCookie 方法（从 Django 文档中窃取）：
function getCookie(name) {
var cookieValue = null;
if (document.cookie && document.cookie !== '') {
var cookies = document.cookie.split(';');
for (var i = 0; i < cookies.length; i++) {
var cookie = cookies[i].trim();
// Does this cookie string begin with the name we want?
if (cookie.substring(0, name.length + 1) === (name + '=')) {
cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
break;
}
}
}
return cookieValue;
}
I've read 我需要更改 Axios CSRF 信息：
var axios = require("axios");
var axiosDefaults = require("axios/lib/defaults");
axiosDefaults.xsrfCookieName = "csrftoken"
axiosDefaults.xsrfHeaderName = "X-CSRFToken"
我在哪里粘贴实际令牌，我通过调用 getCookie('csrftoken') 获得的值？
【问题讨论】：
-
您需要读取“csrftoken”cookie 的值并将与标头相同的值设置为“X-CSRFToken”。如果您不想使用 jquery，获取 cookie 和设置标头的实现会有所改变，但基本原理保持不变。
标签： django reactjs redux django-csrf axios