csrf_tokenのないDjango 1.4

Djangoを1.2.3から1.4にアップグレードしたところ、django.middleware.csrf.CsrfResponseMiddlewareが廃止されたことに気付きました。すべての投稿でcsrf_tokenを使用する必要がない別の方法がありますか？フロントエンドのデザイナーは、django固有のトークンについて心配する必要はありません。csrf_tokenのないDjango 1.4

出典

2012-04-18 olofom

"フロントエンドの設計者は、自分のシステムが攻撃者に公開され、ユーザーのセキュリティが侵害されないようにすることが容易になります。 –

私は構築しているアプリケーションは内部使用のみであり、すべてのユーザーはすでにshibbolethを使用して認証されています。 – olofom

the doc、特にcsrf_exemptとcsrf_protectデコレータを確認してください。

デフォルトのcsrfでdjango.middleware.csrf.CsrfViewMiddlewareを使用すると、特別なビューを除外するためにcsrf_exemptを保護することができます。保護する各ビューにはcsrf_protectしか使用しないでください。 decoratorとcsrf-docs：リリースによると

出典

2012-04-18 09:38:03 okm

ありがとう、内部ツールのためセキュリティは問題ではなく、csrf_exemptは正常に機能しますが、私はより自動的なものを望んでいました。フォームクラスに何かが追加されても大丈夫でしょう。 – olofom

はensure_csrf_cookie -decoratorが今そこにあるノート。

出典

2012-04-18 09:40:19 BergmannF

sure_csrf_cookieデコレータが私の望むことをしないと思います。ドキュメンテーションは公式のドキュメンテーションでは非常に悪いものです。「リリースノートを読む」とリリースノートはドキュメントにリンクしています:) – olofom

この場合のドキュメントのように見えますが、循環参照が役立たない誰でも：） – BergmannF

答えて

関連する問題