CSRF с jquery и $.post в django 1.3

В django 1.3 вам теперь нужно использовать csrf даже с ajax. Я использую jquery и теперь хочу добавить токен csrf в файл $.post. Как я могу это сделать? Я не очень хорошо разбираюсь в jquery, поэтому было бы неплохо с хорошим описанием.

Это рейтинговое приложение, и сообщение отправляется при нажатии на звездочку. Я видел документацию по django, но не понимаю, что делать в моей ситуации. Мой код ниже:

$(function() {  
            $("#avg").children().not(":input").hide();
            $("#rating-widget").children().not("select").hide();    

            $caption = $("<span/>");

            $("#avg").stars({captionEl: $caption});
            $("#rating-widget").stars({
                inputType: "select",
                cancelShow: false,
                captionEl: $caption,
                callback: function(ui, type, value){
-------------->     $.post($("#rating-widget").attr("action"), {score: value}, function(data){

                    });
                }
            });
               $caption.appendTo("#rating-widget");

});

Следует сказать, что javascript находится не в шаблоне, а в статическом файле. Было бы лучше поместить его в шаблон, чтобы я мог использовать {{ csrf_token }}

Заранее спасибо!


django jquery django-csrf
person tmpethick    schedule 31.05.2011    source источник

Ответы (3)


arrow_upward
7
arrow_downward

Поместите этот код перед вашей функцией. Он позаботится о CSRF.

$('html').ajaxSend(function(event, xhr, settings) {
    function getCookie(name) {
        var cookieValue = null;
        if (document.cookie && document.cookie != '') {
            var cookies = document.cookie.split(';');
            for (var i = 0; i < cookies.length; i++) {
                var cookie = jQuery.trim(cookies[i]);
                // Does this cookie string begin with the name we want?
                if (cookie.substring(0, name.length + 1) == (name + '=')) {
                    cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                    break;
                }
            }
        }
        return cookieValue;
    }
    if (!(/^http:.*/.test(settings.url) || /^https:.*/.test(settings.url))) {
        // Only send the token to relative URLs i.e. locally.
        xhr.setRequestHeader("X-CSRFToken", getCookie('csrftoken'));
    }
});
person Tomasz Karbownicki    schedule 01.06.2011
comment
Я только что нашел отредактированную версию, где они использовали ajaxSetup вместо. Это работает для меня :) Не знал, что это так просто! Спасибо! - person tmpethick; 02.06.2011

arrow_upward
3
arrow_downward

В документации по django вы можете найти простое описание того, как автоматически включать токен csrf в каждый запрос ajax!

person Bernhard Vallant    schedule 31.05.2011
comment
Как сказано в вопросе: я уже проверил это место, но не мог понять его и вписать в свой код. Но все равно спасибо за попытку помочь :) - person tmpethick; 01.06.2011
comment
У меня не сработало, пока я не удалил операторы if в ajaxSetup и просто не получил xhr.setRequestHeader(X-CSRFToken, csrftoken); - person bozdoz; 12.01.2013

arrow_upward
1
arrow_downward

Вам не нужно использовать форму! Просто создайте новый URL-адрес, привязанный к функции, которая публикует «звездочки». Например

(r'^myapp/star-post/(?P<post_id>.*)/$','myapp.views.myview')

Поэтому, если вы отправите запрос на этот URL-адрес, он найдет сообщение в вашей базе данных, изменит поле на «помеченное звездочкой» и вернет ответ в ajax.

Затем у вас может быть функция обратного вызова в случае успеха, которая соответствующим образом изменит CSS (заполните звездочку и т. д.). Таким образом, вам не нужно беспокоиться о CSRF.

Но вы можете спросить, а как насчет межсайтовых атак! Что ж, если вы используете аутентификацию пользователя с проверкой файлов cookie, вам не о чем беспокоиться! Аааа, ты готов идти.

person systemizer    schedule 01.06.2011
comment
Это именно то, что я сделал. Проблема в том, что я должен хранить его в базе данных, и он запрашивает у меня токен csrf. Проблема возникла после того, как я обновил fra 1.2 до 1.3, где вы использовали токены csrf - даже с ajax. Я хотел бы знать, как включить токен csrf в запрос, отправленный с помощью ajax - person tmpethick; 01.06.2011
comment
@tmpethick Даже с декоратором csrf_exempt? из django.views.decorators.csrf импортировать csrf_exempt - person systemizer; 03.06.2011