python - ajax for/api-auth/login 时 djangorestfull 出现 CSRF 错误

Question

我在使用 djangorestfull 的 Web 项目的服务器端。我们的 UI 团队在端口 3000 上使用 gulp 运行 UI，而 Django 服务器在端口 8000 上运行。对于登录，我们使用 ajax 的 /api-auth/login url。 /api-auth/login 中选项方法的答案包含 csrftoken 和一个带有 CSRF 的表单但 post 方法(包含用户名和密码)错误。我如何检查这个问题的根源？是在服务器端还是 token 不会用 post 方法发送？

这是我的setting.py:

REQUIRED_APPS = [
    'django_admin_bootstrapped',
    'django.contrib.admin',
    'django.contrib.auth',
    'django.contrib.contenttypes',
    'django.contrib.sessions',
    'django.contrib.messages',
    'django.contrib.staticfiles',
    'django_extensions',
    'rest_framework',
]

MIDDLEWARE_CLASSES = (
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.auth.middleware.SessionAuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    'django.middleware.security.SecurityMiddleware',
)

REST_FRAMEWORK = {
    # Use Django's standard `django.contrib.auth` permissions,
    # or allow read-only access for unauthenticated users.
    'DEFAULT_PERMISSION_CLASSES': [
        'rest_framework.permissions.DjangoModelPermissionsOrAnonReadOnly',
        'rest_framework.authentication.SessionAuthentication',
        'rest_framework.authentication.TokenAuthentication',
    ]
}

和urls.py:

urlpatterns = [
    url(r'^admin/', include(admin.site.urls)),
    url(r'', include('User.urls', namespace='User')),
    url(r'^schedule/', include('Schedule.urls', namespace='Schedule')),
    url(r'^api-auth/', include('rest_framework.urls', namespace='rest_framework')),
]

Answer 1

问题似乎来自 UI 团队。他们很可能没有在 POST 请求中包含 CSRF token 。请确认这一点。以下是 Django 中有关如何添加 token 的一些文档。 https://docs.djangoproject.com/en/1.9/ref/csrf/#ajax