डीजेगो और आईओएस में सीएसआरएफ टोकन

Question

तो मैं समझने की कोशिश कर रहा हूं कि यहां क्या करना है ... मैं अपने Django सर्वर को आईओएस से एक पोस्ट कॉल कर रहा हूं और मुझे 403 त्रुटि (अमान्य सीएसआरएफ टोकन) मिल रही है। मैं एक फ़ंक्शन को लागू करने के बारे में सोच रहा हूं जो मुझे टोकन वापस कर देगा (आपको उस फ़ंक्शन तक पहुंचने के लिए लॉग इन करने की आवश्यकता होगी), और उसके बाद मेरे POST कॉल में टोकन जोड़ें।

अब ... मुझे समझ में नहीं आता कि ऐसा करने का क्या मतलब है? अगर मैं TastyPie का उपयोग करता हूं और आवश्यक लॉगिन APIKey है ... क्या मुझे बस सीएसआरएफ चेक छूट दी जानी चाहिए?

यह सुनिश्चित करने के लिए कि मैं चीजों को सही समझता हूं ... क्या सीएसआरएफ प्रति उपयोगकर्ता सत्र उत्पन्न होता है? इसलिए, यदि मैं कुकीज़ का उपयोग नहीं करता, तो सीएसआरएफ आवश्यक नहीं है?

लोग आमतौर पर आईओएस के साथ अपने डीजेगो सर्वर का उपयोग कैसे करते हैं और ऐसी पोस्ट कॉल करते हैं?

धन्यवाद!

Answer 1

आप सही हैं, सीएसआरएफ इस मामले में ज्यादा समझ नहीं लेता है, क्योंकि इसका उद्देश्य उपयोगकर्ताओं को ब्राउज़र में डेटा छेड़छाड़ से बचाने के लिए है।

मुझे विश्वास है कि Tastypie डिफ़ॉल्ट रूप से सीएसआरएफ को अपने विचारों पर अक्षम करता है।

Answer 2

आप सही हैं: यदि आप अपने सत्रों को प्रबंधित करने के लिए कुकीज़ का उपयोग नहीं करते हैं, तो आपको सीएसआरएफ सुरक्षा की आवश्यकता नहीं है। सीएसआरएफ काम करता है क्योंकि सत्र कुकीज़ स्वचालित रूप से अनुरोध से जुड़ी होती है; एक्सेस टोकन नहीं हैं।

मुझे व्यक्तिगत रूप से this article बहुत उपयोगी मिला। यह निश्चित रूप से पढ़ने लायक है, और शायद आपके कई सवालों का जवाब देगा।

स्वादिष्ट के लिए: यह SessionAuthentication की अनुमति देता है। यदि आप tastypie में सत्र प्रमाणीकरण की अनुमति देते हैं, तो मेरा सुझाव है कि आप अपने उपयोगकर्ताओं को सीएसआरएफ के खिलाफ सुरक्षा के लिए एक तरीका देखें। अन्य प्रमाणीकरण योजनाओं के लिए यह आवश्यक प्रतीत नहीं होता है। जहां तक ​​मुझे पता है, दिमित्री डिफ़ॉल्ट रूप से सीएसआरएफ को अक्षम करने के लिए स्वादिष्ट है, जिसका मतलब है कि यह अजीब बात है कि आपको 403 त्रुटि मिलती है। शायद कुछ और चल रहा है। @csrf_exempt में दृश्य को लपेटने का प्रयास करें।

सीएसआरएफ टोकन के लिए, उन्हें सत्र स्वतंत्र nonces भी कहा जाता है। वे स्थायी होने के लिए हैं, लेकिन आप शायद जानते हैं कि कुकीज़ के लिए असंभव है। वैसे भी, इसका मतलब है कि सीएसआरएफ कुकीज़ सत्रों के माध्यम से बनी रहती है।