javascript - 不使用模板引擎的 CSRF 保护 - Javascript 和 Flask

Question

我有一个正在编写的单页 ​​Web 应用程序，它将采用用户名和 API key ，并将执行 REST 完整 API 调用。由于用户为其帐户使用 apikey，因此无需登录。我没有使用 cookies ether。

在后端，我使用的是一个简单的 flask 服务器。前端是在没有框架的情况下编写的，主要使用 html 和 vanilla JavaScript。我不确定如何在不使用框架的情况下实现 CSRF 保护。我可以使用 Javascript 动态生成 token 并将其作为隐藏元素放置在 html 表单字段中。但我不知道如何将该 token 发送到 flask 服务器，以便它可以进行比较。如果不使用模板引擎，我该怎么做？

Answer 1

首先你需要从服务器生成csrf token，客户端可以通过一个简单的请求得到它，然后在post请求中传回。您可以使用以下方法生成 token 。

flask_wtf.csrf.generate_csrf(secret_key=None, time_limit=None)

例如，

@app.route('/token')

def token():

    token=generate_csrf(time_limit=10)

    return jsonify({'token':token}), 201

然后使用 header 'X-CSRFToken' 发送请求