「CSRF（Cross-site request forgery）以及django中的处理方法」的评论

评论者：donyang

donyang — Fri, 27 Jul 2012 17:04:50 +0000

看完这篇文章让我想起了那句话：大师通常是能把复杂的事情说的简单明了的

评论者：岭南六少

岭南六少 — Thu, 19 Jul 2012 14:30:07 +0000

非常感觉回复
我试试看先

评论者：vicalloy

vicalloy — Thu, 19 Jul 2012 13:14:54 +0000

回复给岭南六少。

应当是django没有设置csrf的cookie。你可以在views前进加ensure_csrf_cookie强制django进行csrf cookie的设置。参考文档 https://docs.djangoproject.com/en/1.4/ref/contrib/csrf/#edge-cases
不需要用户登陆的请求应当是不存在csrf问题的，所以对非登陆的AJAX请求你可以加个
https://docs.djangoproject.com/en/1.4/ref/contrib/csrf/#django.views.decorators.csrf.csrf_exempt
你在用户的登陆函数前加个ensure_csrf_cookie，确保用户登陆后csrf cookie正确设置，需要登录的ajax请求也就没问题了。

评论者：岭南六少

岭南六少 — Thu, 19 Jul 2012 09:10:32 +0000

在ajax 使用csrf感觉蛮麻烦的
这几天整合django + DWZJs（一个jquery UI框架）
根据官方文档使用js那段代码
结果chrome下面没有问题
ie和firefox下cookies值总是为空，老是报403错误
请教博主，有没有什么解决思路呢？亦或是否遇到过ie下csrf报403错误的问题

评论者：falcon

falcon — Wed, 18 Jul 2012 22:45:18 +0000

用这么简洁的文字就能把CSRF说清楚，厉害。

评论者：xaingxiadage

xaingxiadage — Mon, 16 Jul 2012 13:36:10 +0000

不错。学习了！