Untuk mengambil keuntungan dari perlindungan CSRF dalam tampilan anda, ikuti langkah-langkah ini:
\nMiddleware CSRD diaktifkan secara awalan dalam pengaturan MIDDLEWARE. Jika anda menimpa pengaturan itu, ingat bahwa 'django.middleware.csrf.CsrfViewMiddleware' harys datang sebelum tampilan middleware apapun yang menganggap bahwa serangan CSRF telah ditangani.
Jika anda meniadakan itu, yang tidak dianjurkan, anda dapat menggunakan csrf_protect() pada tampilan tertentu anda ingin lindungi (lihat dibawah).
Dalam cetakan manapun yang menggunakan formulir POST, gunakan etiket csrf_token didalam unsur <form> jika formulir adalah untuk internalURL, misalnya:
<form method="post">{% csrf_token %}\nIni jangan diselesaikan untuk formulir POST yang sasaran external URL, sejak itu akan menyebabkan token CSRF bocor, membawa pada kerentanan.
\nDalam fungsi tampilan sesuai, pastikan bahwa RequestContext digunakan untuk membangun tanggapan sehingga {% csrf_token %} akan bekerja dengan benar. Jika anda sedang menggunakan fungsi render(), tampilan umum, atau aplikasi bantuan, anda sudah dilindungi sejak ini semua menggunakan RequestContext.
Selagi metode diatas dapat digunakan untuk permintaan POST AJAX, itu memiliki beberapa ketidaknyamanan: anda harus ingat melewatkan token CSRF dalam sebuah data POST dengan setiap permintaan POST. Untuk alasan ini, ada metode lain: pada setiap XMLHttpRequest, setel sebuah penyesuaian kepala X-CSRFToken (seperti ditentukan oleh pengaturan CSRF_HEADER_NAME) pada nilai dari token CSRF. Ini sering lebih mudah karena banyak kerangka kerja JavaScript menyediakan kaitan yang mengizinkan kepala untuk disetel pada setiap permintaan.
Pertama, anda harus mendapatkan token CSRF. Bagaimana melakukan itu bergantung pada apakah atau tidak pengaturan CSRF_USE_SESSIONS dan CSRF_COOKIE_HTTPONLY diadakan.
Akhirnya, anda akan butuh menyetel kepala pada permintaan AJAX anda. Menggunakan fetch() API:
\nconst request = new Request(\n /* URL */,\n {\n method: 'POST',\n headers: {'X-CSRFToken': csrftoken},\n mode: 'same-origin' // Do not send CSRF token to another domain.\n }\n);\nfetch(request).then(function(response) {\n // ...\n});\nBackend cetakan Jinja2 Django menambahkan {{ csrf_input }} ke konteks dari semua cetakan yang setara pada {% csrf_token %} dalam bahasa cetakan Django. Sebagai contoh:
<form method="post">{{ csrf_input }}\nDaripada menambahkan CsrfViewMiddleware sebagai pelindung selimut, anda dapat menggunakan penghias csrf_protect(), yang mempunyai kegunaan yang sama, pada tampilan tertentu yang butuh perlindungan. Itu harus digunakan both pada tampilan yang memasukkan token CSRF dalam keluaran, danpada mereka itu menerima data formulir POST. (Ini seringkali merupakan fungsi tampilan yang sama, tetapi tidak selalu).
Gunakan dari penghias oleh itu sendiri adalah not recommended, sejak jika anda melupakan itu, anda akan mempunyai sebuah lubang keamanan. Strategi 'belt and braces' dari menggunakan keduanya adalah baik, dan akan mendatangkan beban minimal.
\nSecara awalan, tanggapan '403 Forbidden' dikirim ke pengguna jika sebuah permintaan datang gagal memeriksa dilakukan oleh CsrfViewMiddleware. Ini seharusnya hanya terlihat ketika ada Cross Site Request Forgery asli, atau ketika, karena kesalahan pemrograman, token CSRF tidak disertakan dalam formulir POST.
Halaman kesalahan, bagaimanapun, sangat tidak ramah, sehingga anda ingin menyediakan tampilan anda sendiri untuk menangani kondisi ini. Untuk melakukan ini, setel pengaturan CSRF_FAILURE_VIEW.
Kegagalan CSRF adalah tercatat sebagai peringatan pada pencatat django.security.csrf 1.
\nJika etiket cetakan csrf_token digunakan oleh cetakan (atau fungsi get_token dipanggil cara lain), CsrfViewMiddleware akan menambah sebuah kue dan sebuah kepala Vary: Cookie ke tanggapan. Ini berarti bahwa middleware akan bermain baik dengan middleware cache jika itu digunakan sesuai panduan (UpdateCacheMiddleware berjalan sebelum semua middleware lain).
Bagaimanapun, jika anda menggunakan penghias cache pada tampilan masing-masing, middleware CSRF belum bisa menyetel kepala Vary atau kue CSRF, dan tanggapan akan di simpan sementara tanpa salah satu. Dalam kasus ini, pada tampilan apapun yang akan membutuhkan token CSRF untuk dimasukkan anda harus menggunakan penghias django.views.decorators.csrf.csrf_protect() dahulu:
from django.views.decorators.cache import cache_page\nfrom django.views.decorators.csrf import csrf_protect\n\n\n@cache_page(60 * 15)\n@csrf_protect\ndef my_view(request): ...\nJika anda sedang menggunakan tampilan berdasarkan-kelas, anda dapat mengacu ke Decorating class-based views1.
\nCsrfViewMiddleware biasanya akan menjadi penghalang besar untuk menguji fungsi tampilan, dikarenakan kebutuhan token CSRF yang harus dikirim setiap permintaan POST. Untuk alasan ini, Klien HTTP Django untuk percobaan telah dirubah untuk menyetel bendera pada permintaan middleware yang santai dan penghias csrf_protect sehingga mereka tidak lagi menolak permintaan. Dalam segala hal lainnya (misalnya mengirim cookies dll.), mereka berperilaku sama.
Jika, untuk beberapa alasan, anda ingin menguji klien untuk melakukan pemeriksaan CSRF, anda dapat membuat sebuah instance dari klien pengujian yang memaksa pemeriksaan CSRF:
\n>>> from django.test import Client\n>>> csrf_client = Client(enforce_csrf_checks=True)\nTampilan-tampilan tertentu dapat memiliki persyaratan tidak biasa yang berarti mereka tidak cocok pola biasa dipertimbangkan disini. Sejumlah kegunaan dapat berguna dalam keadaan seperti ini. Skenario mereka mungkin dibutuhkan digambarkan dalam bagian berikut.
\nKebanyakan tampilan membutuhkan perlindungan CSRF, tetapi sedikit tidak.
\nPemecahan: daripada meniadakan middleware dan memberlakukan csrf_protect ke semua tampilan yang membutuhkan itu, adakan middleware dan gunakan csrf_exempt().
CsrfViewMiddleware.process_view() tidak digunakanLink to this heading#Ada kasus-kasus ketika CsrfViewMiddleware.process_view mungkin tidak berjalan sebelum tampilan anda berjalan - penangan 404 dan 500, sebagai contoh - tetapi anda masih butuh token CSRF dalam sebuah formulir.
Pemecahan: gunakan requires_csrf_token()
Mungkin ada beberapa tampilan yang tidak terlindungi dan telah dibebaskan oleh csrf_exempt, tetapi masih butuh disertakan token CSRF.
Pemecahan: gunakan csrf_exempt() diikuti oleh requires_csrf_token(). (yaitu requires_csrf_token harus berupa penghias paling dalam).
Sebuah tampilan butuh perlindungan CSRF dibawah hanya satu kumpulan dari situasi, dan tidak boleh memilikinya untuk sisa waktu.
\nPemecahan: gunakan csrf_exempt() untuk seluruh fungsi tampilan, dan csrf_protect() untuk jalur dalam itu yang butuh perlindungan. Contoh:
from django.views.decorators.csrf import csrf_exempt, csrf_protect\n\n\n@csrf_exempt\ndef my_view(request):\n @csrf_protect\n def protected_path(request):\n do_something()\n\n if some_condition():\n return protected_path(request)\n else:\n do_something_else()\nSebuah halaman membuat permintaan POST melalui AJAX, dan halaman tidak mempunyai formulir HTML dengan csrf_token yang akan menyebabkan kue CSRF diwajibkan dikirim.
Pemecahan: gunakan ensure_csrf_cookie() di tampilan yang mengirim halaman.
Karena itu memungkinkan untuk pengembang mematikan CsrfViewMiddleware, semua tampilan terkait dalam kontribusi aplikasi menggunakan penghias csrf_protect untuk memastikan keamanan aplikasi ini terhadap CSRF. Itu dianjurkan bahwa pengembang dari aplikasi yang digunakan kembali yang ingin jaminan sama juga menggunakan penghias csrf_protect pada tampilan mereka.