Python, moja aplikacja w Django i moduł requests ( problem z csrf )

Question

Hej, oto mój blog w django ( zrobiony przy pomocy poradnika ). Próbuje zalogować się na moje konto z użyciem modułu requests:

import requests

payload = {
    'username': 'jakub',
    'password': '...',
    'csrfmiddlewaretoken': 'q3W7zNuJ5IzbCfCjC8vgXfl7lEvmgD6KBaMtha2S54MpYcT0aFNYNeA6XMe6ty2r'
}

r = requests.post('http://jakubes123.pythonanywhere.com/login/', data=payload) 

print(r.status_code)

Wiem że django wymaga by z formularzem metodą post został wysłany csrf token. Jak widać dodałem go. Wszystko zgadza się z oryginalnym formularzem:

Mimo wszystko wciąż otrzymuje status 403.

Wiecie może o czym mogłem zapomnieć? Dziękuje i pozdrawiam :)

Answer 1

Token CSRF jest powiązany z sesją. Nie możesz go tak po prostu wyciągnąć z przeglądarki i wcisnąć do losowego zapytania - ba, to jest jedna z rzeczy do których zapobiegania służy.

Proponuję:

- otworzyć sesję request'ów (ogólnie bez sesji Twoje zapytania logowania by wiele nie dało)

- zrobić zapytanie na stronę logowania

- wyciągnąć stamtąd wartość tokenu

- wrzucić go do zapytania logowania

Comments

Dzięki!

Wystarczyło poczytać czym w ogóle jest csrf token :)

napisałem takie coś i działa:

s = requests.Session()
rget = s.get('http://jakubes123.pythonanywhere.com/login/');

payload = {
    'username': 'jakub',
    'password': '...',
    'csrfmiddlewaretoken': rget.cookies['csrftoken']
}

r = s.post('http://jakubes123.pythonanywhere.com/login/', data=payload) 

serdecznie pozdrawiam

---

Od siebie tylko dorzucę jeszcze to, może na przyszłość się przyda.

Jeśli przypadek na to pozwala, to można użyć dekoratora csrf_exempt dla widoku, wtedy token CSRF nie będzie wymagany. Jest to wygodne, jeśli widok na przykład nic nie modyfikuje i możemy sobie pozwolić na niższy poziom bezpieczeństwa (warto jednak być wtedy w 100% pewnym, że można tak zrobić). Więcej szczegółów odnośnie tego, kiedy można sobie na to pozwolić tutaj.