Телеграмм чат группы pydjango страница 16170

2020 March 18

U

https://qna.habr.com/answer?answer_id=180850#answers_list_answer

думаю дело в том что токен из куки и из формы отличаются

Хабр Q&A — вопросы и ответы

Django: post-запрос и проблема с CSRF

Оцените ответ от mpriver. Должно без всяких ухищрений работать. Если используете стандартный шаблон приложения, от вас требуется только вставить {% csrf_token %} внутрь формы.

Сам механизм в простом случае (без Ajax'а) работает так:
1. Django устанавливает cookie csrftoken=CSRF-токен
2. Вместо template_tag'а {% csrf_token %} Django вставляет:
<input type="hidden" name="csrfmiddlewaretoken" value="CSRF-токен">

3. При сабмите формы, cookie и CSRF-токен уходит обратно к Django вместе с остальными полями формы.
4. Django сверяет токен из cookie и из POST.

Сейчас почитаю; спасибо

источник

16:01пожаловаться #1

U

Unknown in Django [ru] #STAY HOME

Artem Gubatenko

https://qna.habr.com/answer?answer_id=180850#answers_list_answer

думаю дело в том что токен из куки и из формы отличаются

Хабр Q&A — вопросы и ответы

Django: post-запрос и проблема с CSRF

Оцените ответ от mpriver. Должно без всяких ухищрений работать. Если используете стандартный шаблон приложения, от вас требуется только вставить {% csrf_token %} внутрь формы.

Сам механизм в простом случае (без Ajax'а) работает так:
1. Django устанавливает cookie csrftoken=CSRF-токен
2. Вместо template_tag'а {% csrf_token %} Django вставляет:
<input type="hidden" name="csrfmiddlewaretoken" value="CSRF-токен">

3. При сабмите формы, cookie и CSRF-токен уходит обратно к Django вместе с остальными полями формы.
4. Django сверяет токен из cookie и из POST.

Ага. То есть для каждого юзера уникальный токен совпадающий с токеном в его куках.

Интересно, как тогда можно решить вопрос?
Просто избегать добавление в кэш?

источник

16:05пожаловаться #2

AG

Artem Gubatenko in Django [ru] #STAY HOME

Unknown

Ага. То есть для каждого юзера уникальный токен совпадающий с токеном в его куках.

Интересно, как тогда можно решить вопрос?
Просто избегать добавление в кэш?

да, лучше не класть в кэш
или самому менять, через JS - но это кажется избыточным решением

источник

16:06пожаловаться #3

U

Unknown in Django [ru] #STAY HOME

Artem Gubatenko

да, лучше не класть в кэш
или самому менять, через JS - но это кажется избыточным решением

У меня просто в темплейте инклюдится шаблон с комментами и там csrf. Не понимаю, как можно обойти именно csrf_token. Погуглил никакого no_cache тэга не нашёл, который бы запрещал кэшить этот фрагмент

источник

16:13пожаловаться #4

AG

Artem Gubatenko in Django [ru] #STAY HOME

Unknown

У меня просто в темплейте инклюдится шаблон с комментами и там csrf. Не понимаю, как можно обойти именно csrf_token. Погуглил никакого no_cache тэга не нашёл, который бы запрещал кэшить этот фрагмент

я бы или запрос оптимизировал, или данные кешировал, или запрашивал данные отдельно по async ajax
не вижу особой выгоды кешировать что-то в шаблоне

источник

16:16пожаловаться #5

S

Stanley in Django [ru] #STAY HOME

Всем привет, помогите с DRF разобраться. вот мои модели:

источник

16:37пожаловаться #6

S

Stanley in Django [ru] #STAY HOME

https://pastebin.com/q9SvPDGm

Pastebin