Bug do Django no token CRSF
Estou usando o django como API da web para back-end e React JS como interface da web da web para front-end. O usuário se inscreverá na interface da web, que enviará uma solicitação POST ao django para se registrar com os detalhes do usuário. Quero proteger a visualização de inscrição com o CSRF. Portanto, eu mostro os passos abaixo.
Primeiro, quando a página de inscrição é carregada, eu aciono um manequimGET
solicitação para armazenar o token csrf com o código abaixo.
handleSend(){
let req = {
url: 'http://localhost:9000/vcubes/retrieve_token/',
method : 'GET',
withCredentials: true
}
axios(req)
}
Em seguida, quando o usuário enviar o formulário de inscrição, outra solicitação POST será acionada.
const data = JSON.stringify({
'first_name': this.state.first_name,
'last_name': this.state.last_name,
'email': this.state.email,
'contact_number': this.state.contact_number,
'password1': this.state.password1,
'password2': this.state.password2,
})
let req = {
url: 'http://localhost:9000/vcubes/signup/',
method : 'POST',
headers: {
'Content-Type': 'text/plain'
},
data: data
}
axios.defaults.headers.common['X-CSRF-TOKEN'] = this.getCookie('vcubes')
Com o código acima, uma OPTIONS será enviada ao django primeiro e depois, após o django, enviar de volta um200 OK
, a solicitação POST real será acionada.
Surpresa! O Django afirmou que eu não defino o cookie CSRF.
Forbidden (CSRF cookie not set.): /vcubes/signup/
[30/Oct/2017 01:30:48] "POST /vcubes/signup/ HTTP/1.1" 403 2857
Minhassettings.py
está abaixo. (Eu apenas mostro algum código relacionado ao CORS e CSRF)
INSTALLED_APPS = [
'django.contrib.admin',
'django.contrib.auth',
'django.contrib.contenttypes',
'django.contrib.sessions',
'corsheaders',
'django.contrib.messages',
'django.contrib.staticfiles',
'rest_framework',
'custom_user',
'vcubes',
]
MIDDLEWARE = [
'django.middleware.security.SecurityMiddleware',
'django.contrib.sessions.middleware.SessionMiddleware',
'corsheaders.middleware.CorsMiddleware',
'django.middleware.common.CommonMiddleware',
'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'django.middleware.clickjacking.XFrameOptionsMiddleware',
]
CSRF_TRUSTED_ORIGINS = (
'localhost:8000',
'127.0.0.1:8000'
)
CSRF_COOKIE_NAME = 'vcubes'
CSRF_HEADER_NAME = 'HTTP_X_CSRF_TOKEN'
CORS_ORIGIN_ALLOW_ALL = True
CORS_ALLOW_CREDENTIALS = True
CORS_ORIGIN_WHITELIST = (
'localhost:8000',
'127.0.0.1:8000'
)
CORS_ALLOW_HEADERS = (
'access-control-allow-credentials',
'access-control-allow-origin',
'access-control-request-method',
'access-control-request-headers',
'accept',
'accept-encoding',
'accept-language',
'authorization',
'connection',
'content-type',
'dnt',
'credentials',
'host',
'origin',
'user-agent',
'X-CSRF-TOKEN',
'X-CSRFToken',
'x-requested-with',
)
Em views.py
@ensure_csrf_cookie
def retrieve_token(request):
return HttpResponse(status=200)
def signup(request):
print request.META
form = UserCreationForm(json.loads(request.body))
# user = form.save(commit=False)
# user.is_active = False
# user.save()
#
# mail_subject = 'Activate your account.'
# message = render_to_string('acc_active_email.html', {
# 'name': user.get_full_name(),
# 'domain': 'localhost:9000',
# 'uid': urlsafe_base64_encode(force_bytes(user.pk)),
# 'token': account_activation_token.make_token(user),
# })
# to_email = user
# email = EmailMessage(
# mail_subject, message, to=[to_email]
# )
# email.send()
return HttpResponse(status=200)
Passei o dia inteiro para descobrir o problema no google e no stackoverflow, mas quase não recebi ajuda. Por favor me esclareça!