Как аутентифицировать пользователя с использованием cookie файлов (Django + Angular) на разных доменных именах?

Question

[Sergey Pashkevich]

Заголовки все для cors включены. Куки устанавливаются, всё ок.
Но засада в csrf защите, не могу пройти её так как запрос на аутентификацию шлётся post запросом, а это считается небезопасный запрос и необходим csrf токен. Каким способом его лучше получить, если Django(api) находятся на одной машине и одном домене, а Angular(client) находятся на другой машине и другом домене?
Есть вариант создать некий метод, куда можно будет перед запуском послать get запрос, что бы пришли куки, а из них уже вытянуть csrf, записать его в localStorage и уже при каждом запросе посылать этот csrf токен в заголовке, который необходим Django для подтверждения csrf - X-CSRFToken.

Но я думаю этот метод не для прода и на костыль смахивает, может у кого-то был опыт данной реализации, буду очень благодарен если есть какие-то варианты и что можно будет обсудить с вами поподробнее ;)

Answer 1

[Andrey K]

Чем городить костыли, проще отключить csrf.

Comments

[Sergey Pashkevich]

А будет ли это правильным решением?

[Andrey K]

Да. Запрос на аутентификацию сложно подделать ;)