可以使用跨站点请求伪造 (CSRF) 操作 Django 管理表单

Question

在我的 Django 管理站点中，我运行了一个漏洞测试，它显示了以下威胁：

An effective CSRF (Cross-Site Request Forgery) countermeasure for forms is to 
include a hidden field with a random value specific to the user's current session.
A form was detected that did not appear to contain an anti-CSRF token. 
This form was tested for susceptibility to a CSRF attack and determined to be vulnerable.

我检查了我的管理页面； CSRF 已经设置好了。

Answer 1

自动化工具通常会误报 Django 的 CSRF 保护。 Django 安全团队收到很多这样的无效报告。