Нужен ли csrf token при работа с django rest framework?

Question

[Михаил]

Меня интересует вот такой момент, нужно ли использовать crftoken при post запросах к DRF?
Дело в том что у меня на фронте SPA, так же будет приложение для мобильных, нужно ли тогда использовать этот токен?
Можно ли его отключить в настройках django?
Дело в том что пытаюсь отправить post запрос на бек, мне выдает 403 ошибку.
Пример класса на беке

class HelloView(APIView):
    def get(self, request):
        return Response({"message": "Hello World!"})

    def post(self, request):
        name = request.data.get("name")
        if not name:
            return Response({"error": "No name passed"})
        return Response({"message": "Hello {}!".format(name)})

Comments

[javedimka]

В drf csrf используется только при использовании SessionAuthentication бэкэнда для аутентификации.
Все же есть на их сайте, даже раздел посвящённый безопасности есть, в чем проблема вообще

[Михаил]

javedimka, В том что используя ajax запросы просто к django все работает, если тот же запрос отправляю на DRF 403 ошибка

[javedimka]

Михаил, поменяй бэкэнд с сессий на токен, все равно это сделать придется, раз приложения api использовать будут.

Answer 1

[kzoper]

AJAX¶

While the above method can be used for AJAX POST requests, it has some inconveniences: you have to remember to pass the CSRF token in as POST data with every POST request. For this reason, there is an alternative method: on each XMLHttpRequest, set a custom X-CSRFToken header to the value of the CSRF token. This is often easier, because many JavaScript frameworks provide hooks that allow headers to be set on every request.

django doc

Comments

[Михаил]

@csrftoken =
                        document.getElementsByName('csrfmiddlewaretoken')[0].value
                $.ajax({
                    url: "#{@url}dep/"
                    type: "POST"
                    data:
                        subject: @title
                        department: @dep
                        priority: @prio
                        description: @text
                       "csrfmiddlewaretoken": @csrftoken
                    success: (data) =>
                        console.log data
                    error: (response) =>
                        console.log response
                })

Вот в шаблон вставлен {%csrf_token%}
Я его забираю. При отправке просто в представление django все работает, если отправлять в DRF ошибка 403

Answer 2

[Михаил]

Решил, помог Гит
Если есть еще решения это проблемы буду рад увидеть)