防止内部POST方法被第三方调用
提问于 2019-11-20 19:03:30
我担心我的web应用程序的安全性，我正在使用Django，有时我使用AJAX调用Django url，该url将执行代码，然后根据结果返回一个带有消息的HttpResponse，用户从未注意到这一点，因为它发生在后台。
然而，如果我用AJAX调用的url是，例如，"runcode/"，用户不知何故跟踪到它，并试图用这个url向我的域发送一个请求(类似于"www.example.com/runcode/")，它将不会运行代码，因为Django也希望发送csrf令牌，所以问题来了。
有可能用户可以获得csrf令牌并发送POST?，我觉得答案将是“是”，所以任何人都可以帮助我一个提示，如果这些调用没有预期的目标，如何拒绝它们？
回答 2
Stack Overflow用户
发布于 2019-11-21 03:56:59
如果您关心的是未经授权的用户访问敏感数据，django内置了一些工具来帮助您进行身份验证/授权。
我建议你好好读一读：
Stack Overflow用户
发布于 2019-11-21 08:56:26
不仅是django，而且这种行为在所有其他人中都很常见，
您只能应用2个解决方案，
- 应用CORS并只允许您的域，以阻止其他域从您的API响应中访问数据，但如果用户直接调用您的API端点，这将不起作用。
- 在评论中说，如果数据是敏感的或用户的个人，则在API中添加身份验证。
谢谢
页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接：
https://stackoverflow.com/questions/58961605
复制相关文章
腾讯云开发者
