Удаленная авторизация REST API, как реализовать?

Question

[awesomeddd]

Есть сервер на Django REST API
Есть веб-приложение на обычном Django.
Т.е. осуществляется связь:
Django REST API Server <=> Django app <=> Client
Пытаюсь залогиниться, отсылая POST запрос в форму авторизации, предварительно предложив ввести логин и пароль в самописной форме на Django:
В forms.py:

<form action="{% url 'todolist:login' %}" method="post">
    {% csrf_token %}
    {{ form }}
    <input type="submit" value="Login" />
</form>

В views.py:

class LoginView(View):
    @method_decorator(csrf_exempt)
    def get(self, request, *args, **kwargs):
        form = LoginForm()
        return render(request, 'login.html', {'form': form})
    @method_decorator(csrf_exempt)
    def post(self, request, *args, **kwargs):
        form = LoginForm(request.POST)
        if form.is_valid():
            post_data = {'username': form.cleaned_data['username'], 'password': form.cleaned_data['password']}
            response = requests.post('http://127.0.0.1:8080/api-auth/login/', data=post_data)
            return HttpResponseRedirect('/todolists/')

При отправке POST запроса в ответ приходит 403 с указанием: Forbidden (CSRF cookie not set.): /api-auth/login/
Как решить эту проблему?

Answer 1

[Дмитрий Бурнаев]

На стороне django-rest сервера стоит защита csrf. Нужно в момент вызова requests.post ( обращение по при) подкинуть в куки csrf token (его можно получить из текущего реквеста)

Comments

[awesomeddd]

Подкинуть в куки — это только с помощью JS? Это clientside же.

[Дмитрий Бурнаев]

ты делаешь запрос к апи не с клиента напрямую (не через браузер), а с помощью либы requests .... у нее есть возможность во время запроса подкинуть куки docs.python-requests.org/en/master/user/quickstart...

[awesomeddd]

Значит перед тем, как слать данные логина, пароля и токена POST-запросом, нужно сначала сделать GET-запрос, достать из рестовской формы CSRF и сунуть в куки?

[Дмитрий Бурнаев]

awesomeddd: как один из вариантов - да. так и поступить. если django-rest так защищает свое приложение других вариантов получить csrf токен - нет. можно не в куки. можно одним из параметров в хедере. но суть та же