Para aprovechar la protección CSRF en sus vistas, siga estos pasos:
\nEl middleware CSRF está activado de forma predeterminada en la configuración MIDDLEWARE. Si anula esa configuración, recuerde que 'django.middleware.csrf.CsrfViewMiddleware' debe aparecer antes de cualquier middleware de vista que asuma que se han tratado los ataques CSRF.
Si lo desactivó, lo cual no se recomienda, puede usar csrf_protect() en vistas particulares que desee proteger (ver más abajo).
En cualquier plantilla que utilice un formulario POST, utilice la etiqueta csrf_token dentro del elemento <form> si el formulario es para una dirección URL interna, por ejemplo:
<form method="post">{% csrf_token %}\nEsto no debe hacerse para los formularios POST que se dirigen a URL externas, ya que eso provocaría que se filtrara el token CSRF, lo que provocaría una vulnerabilidad.
\nEn las funciones de vista correspondientes, asegúrese de que RequestContext se utiliza para representar la respuesta de modo que {% csrf_token %} funcione correctamente. Si está utilizando la función render(), vistas genéricas o aplicaciones contrib, ya está cubierto, ya que todas usan RequestContext.
Si bien el método anterior se puede usar para solicitudes AJAX POST, tiene algunos inconvenientes: debe recordar pasar el token CSRF como datos POST con cada solicitud POST. Por esta razón, existe un método alternativo: en cada XMLHttpRequest, establezca un encabezado personalizado X-CSRFToken (como se especifica en ajuste CSRF_HEADER_NAME) el valor del valor del token CSRF. Esto suele ser más fácil porque muchos marcos de JavaScript proporcionan ganchos que permiten establecer encabezados en cada solicitud.
Primero, debe obtener el token CSRF. Cómo hacerlo depende de si la configuración CSRF_USE_SESSIONS y CSRF_COOKIE_HTTPONLY está habilitada o no.
Finalmente, deberá configurar el encabezado en su solicitud AJAX. Usando la API fetch():
\nconst request = new Request(\n /* URL */,\n {\n method: 'POST',\n headers: {'X-CSRFToken': csrftoken},\n mode: 'same-origin' // Do not send CSRF token to another domain.\n }\n);\nfetch(request).then(function(response) {\n // ...\n});\nEl backend de plantillas Jinja2 de Django agrega {{ csrf_input }} al contexto de todas las plantillas, lo cual es equivalente a {% csrf_token %} en el lenguaje de plantillas de Django. Por ejemplo:
<form method="post">{{ csrf_input }}\nEn lugar de agregar CsrfViewMiddleware como una protección general, puedes usar el decorador csrf_protect(), que tiene exactamente la misma funcionalidad, en vistas específicas que necesiten la protección. Debe ser utilizado tanto en vistas que insertan el token CSRF en la salida, como en aquellas que aceptan los datos de formulario POST. (A menudo, estas son la misma función de vista, pero no siempre).
El uso del decorador por sí solo no se recomienda, ya que si olvida usarlo, tendrá una vulnerabilidad de seguridad. La estrategia de “cinturón y tirantes” de usar ambos está bien, e incurrirá en un costo mínimo.
\nPor defecto, se envía una respuesta “403 Forbidden” al usuario si una solicitud entrante no supera las comprobaciones realizadas por CsrfViewMiddleware. Esto normalmente solo debería observarse cuando hay una verdadera falsificación de solicitud entre sitios, o cuando, debido a un error de programación, el token CSRF no se ha incluido con un formulario POST.
\nLa página de error, sin embargo, no es muy amigable, por lo que es posible que desee proporcionar su propia vista para manejar esta condición. Para hacer esto, establezca la configuración CSRF_FAILURE_VIEW.
Los fallos de CSRF se registran como advertencias en el logger :ref:django.security.csrf.<django-security-logger>
\nSi la etiqueta de plantilla csrf_token esta siendo usada por otra plantilla (o la función get_token se llama de otra manera), CsrfViewMiddleware añadirá una cookie y un encabezado Vary: Cookie a la respuesta. Esto significa que el middleware funcionara bien con el caché si se usa según las instrucciones (UpdateCacheMiddleware va antes que los demás middleware).
Sin embargo, si utilizas decoradores de caché en vistas individuales, el middleware CSRF aún no habrá podido establecer el encabezado Vary o la cookie CSRF, y la respuesta se almacenará en caché sin ninguno de ellos. En este caso, en cualquier vista que requiera que se inserte un token CSRF, debes usar primero el decorador django.views.decorators.csrf.csrf_protect()
from django.views.decorators.cache import cache_page\nfrom django.views.decorators.csrf import csrf_protect\n\n\n@cache_page(60 * 15)\n@csrf_protect\ndef my_view(request): ...\nSi esta usando vistas basadas en clases, puede consultar Decorating class-based views.
\nEl CsrfViewMiddleware suele ser un gran obstáculo para probar las funciones de vista, debido a la necesidad del token CSRF que debe enviarse con cada solicitud POST. Por esta razón, el cliente HTTP de Django para pruebas se ha modificado para establecer una bandera en las solicitudes que relaja el middleware y el decorador csrf_protect, de modo que ya no rechacen las solicitudes. En todos los demás aspectos (por ejemplo, enviar cookies, etc.), se comportan igual.
Si, por alguna razón, deseas que el cliente de pruebas realice comprobaciones CSRF, puedes crear una instancia del cliente de pruebas que aplique estas comprobaciones:
\n>>> from django.test import Client\n>>> csrf_client = Client(enforce_csrf_checks=True)\nCiertas vistas pueden tener requisitos inusuales que significan que no se ajustan al patrón normal contemplado aquí. Varios utilitarios pueden ser útiles en estas situaciones. Los escenarios en los que podrían ser necesarios se describen en la siguiente sección.
\nLa mayoría de las vistas requieren protección CSRF, pero algunas no.
\nSolución: antes de deshabilitar el middleware y aplicar csrf_protect a todas las views que lo necesite, habilita el middleware y usa csrf_exempt().
CsrfViewMiddleware.process_view() no está en usoLink to this heading#Hay casos cuando CsrfViewMiddleware.process_view puede no haberse ejecutado antes de la ejecución de tu view - por ejemplo los handlers 404 y 500 - pero aún así necesitas el token CSRF en un formulario.
Solución: usa requires_csrf_token()
Puede que haya algunas views que estén desprotegidas y hayan sido eximidas por csrf_exempt, pero aún así necesita incluir el Token CSRF.
Solución: usa csrf_exempt() seguido de requires_csrf_token(). (es decir, requires_csrf_token debería ser el decorador mas interno).
Una view necesita protección CSRF bajo un solo conjunto de condiciones y no debe tenerlo por todo el resto del tiempo.
\nSolución: usa csrf_exempt() para toda la función view y csrf_protect() para el path dentro de él que necesita protección. Ejemplo:
from django.views.decorators.csrf import csrf_exempt, csrf_protect\n\n\n@csrf_exempt\ndef my_view(request):\n @csrf_protect\n def protected_path(request):\n do_something()\n\n if some_condition():\n return protected_path(request)\n else:\n do_something_else()\nUna página hace una PBULICACIÓN vía AJAX y la página no tiene un formulario HTML con un csrf_token eso provocaría que la cookie CSRF requerida sea enviada.
Solución: usa ensure_csrf_cookie() en la view que envía la página.
Porque es posible para el desarrollador apagar el CsrfViewMiddleware, todas las views importantes de apps contrib usa el decorador csrf_protect para garantizar la seguridad de estas aplicaciones contra el CSRF. Se recomienda a los desarrolladores de las apps reutilizables que quieran la misma garantía también utilicen el decorador csrf_protect en sus views.