Django csrf令牌首次登录后未刷新
Django是一个基于Python的开源Web应用框架，它提供了一套完整的开发工具和功能，用于快速构建高质量的Web应用程序。在Django中，CSRF（Cross-Site Request Forgery）令牌是一种安全机制，用于防止跨站请求伪造攻击。
CSRF攻击是一种常见的Web安全漏洞，攻击者通过伪造用户的请求，使用户在不知情的情况下执行恶意操作。为了防止这种攻击，Django引入了CSRF令牌机制。
CSRF令牌是一个随机生成的字符串，它与用户会话相关联，并在每个表单中自动添加。当用户提交表单时，Django会验证表单中的CSRF令牌与用户会话中的令牌是否匹配，如果不匹配，则拒绝请求。
对于首次登录后未刷新CSRF令牌的情况，可能会导致CSRF保护机制失效，从而使应用程序容易受到CSRF攻击。为了解决这个问题，可以在用户登录成功后，强制刷新CSRF令牌，确保每个请求都包含有效的令牌。
在Django中，可以通过以下步骤来实现CSRF令牌的刷新：
- 在登录视图中，验证用户的凭据是否正确，如果正确，则生成新的CSRF令牌并将其保存到用户会话中。
- 在登录成功后的重定向视图中，将新的CSRF令牌传递给前端页面。
- 在前端页面中，使用新的CSRF令牌更新所有包含CSRF令牌的表单。
- 当用户提交表单时，Django会验证表单中的CSRF令牌与用户会话中的令牌是否匹配。
通过以上步骤，可以确保每次请求都包含有效的CSRF令牌，从而提高应用程序的安全性。
在腾讯云的产品中，可以使用腾讯云的云服务器（CVM）来部署Django应用程序。腾讯云的云服务器提供了稳定可靠的计算资源，可以满足Django应用程序的运行需求。您可以通过以下链接了解腾讯云云服务器的详细信息：腾讯云云服务器
此外，腾讯云还提供了其他与云计算相关的产品，如云数据库MySQL、云存储COS等，这些产品可以与Django应用程序结合使用，提供全面的云计算解决方案。您可以通过腾讯云的官方网站了解更多产品信息和使用指南。
相关·内容
后端: Django / Django Rest框架，将托管在GCP k8s中
前端:角，将托管在某些CDN上，例如Vercel
身份验证: JWT (https://github.com/jazzband/djangorestframework-simplejwt)
前端和后端将有不同的域。(可能位于同一域，但可能位于不同的子域)
我的流量：
从端点获取CSRF令牌(作为cookie)
将该令牌与任何不安全的请求附加为cookie，以及一个标头，例如，其值在cookie中提到。
从客户端获取凭据并将其传递给登录端点。
登录端点在响应中返回一个JWT访问令牌，并以httpOnly cookie
浏览 0提问于2023-03-03得票数 1
当我使用django方法返回back后返回时，我得到CSRF验证失败。
即使我成功登录，它也会返回登录页面。并在CSRF验证失败时发布错误。
我可以在Django设置中设置任何东西吗？
浏览 25提问于2017-03-06得票数 1
2回答
我在文档中看到，DRF只在经过身份验证的请求上验证CSRF令牌，登录视图应该明确地检查CSRF令牌。
问题是，如何手动检查CSRF令牌？
在我的settings.py里
MIDDLEWARE = [
...
"django.middleware.csrf.CsrfViewMiddleware",
...
]
以下是我的看法：
from rest_framework.decorators import api_view
from django.http import JsonResponse
from django.views.decorators.csr
浏览 26提问于2022-10-02得票数 1
回答已采纳
2回答
我使用Django Rest框架，并使用rest_auth的端点设置了登录端点，但是，登录后，如果刷新页面，登录将无效。
我已经通过设置一个`/loginCheck‘端点来测试这个端点，在登录之后，我按如下方式检查该端点：
@api_view(['GET',])
@permission_classes([AllowAny,])
def get_user(request):
user = request.user
print(user)
日志记录之后，如果我停留在页面上并执行/loginCheck',，则print命令将显示活动用户的用户名。但是，在刷新页
浏览 0提问于2015-03-16得票数 1
回答已采纳
我们在后端使用django-rest-框架作出反应SPA，并使用django-rest-auth进行用户身份验证。
当用户登录时，我们向他显示更改配置文件数据的表单。当用户提交此表单时，我们在登录响应中从cookie中获取csrf令牌，并将它们放在请求报头中。缺少或不正确的服务器响应。
如果用户刷新页面，并重复相同的操作，csrf令牌是正确的，概要文件数据将被更新。
如何解决这个问题，为什么会发生？
浏览 3提问于2016-12-01得票数 1
我正在尝试用ionic2和django rest框架开发移动本地应用程序。我发现django-rest框架- jwt库支持强大的jwt身份验证。但是，它不会自动刷新令牌，以便移动应用程序的用户在令牌过期时键入用户名和密码。
下面我已经检查了另一个堆栈溢出问题。
用户是否可以不用再次键入用户名和密码？或者，可以让令牌不过期，并将其保存在移动应用程序的本地存储中，这样用户就不必再次登录了？
提前感谢！
浏览 5提问于2016-06-22得票数 7
1回答
我是否使用刷新令牌？
、、、、
我有一个没有用户帐户的应用程序，所以不需要登录。我目前正在通过我的应用程序接口中的一个/get-token端点使用JWT进行身份验证，该端点在UI启动时立即调用，并返回一个持有者令牌，用于向前移动的调用的调用。
当令牌过期时，我对如何处理感到有点困惑。我在考虑使用刷新令牌，但我看到的所有教程都将刷新令牌传递回UI，这不是不安全的吗？我一直认为刷新令牌是内部的，只在服务器上用来刷新过期的令牌。
处理这个问题的最好方法是什么？
浏览 0提问于2020-04-18得票数 0
3回答
我正在我的应用程序中实现JWT，我希望使它们尽可能安全。我将列出我所计划的一切，我将非常感谢关于这个实现的安全性的任何建议。这是我的网站，我有充分的访问它的每一个方面，前端和后端。
这将是一个SPA，使用API访问后端.我使用JWT来保存每次命中API时的DB调用。
JWTs
JWT存储在access_token cookie中。它们首先进行签名，然后使用何塞-杰沃特加密。签名算法为HS256，加密为DIR。它们包括用户ID、过期exp声明和其他几个自定义声明。JWT在30分钟内到期，JWT cookie在7天内到期。
(简写)：
存储在cookie中的JWT
JWT包括用户ID
JWT签名后
浏览 0提问于2016-08-12得票数 14
我在Django使用登录和注册。
但是现在我正在尝试用一个简单的表单{% csrf_token %}在我的base.html中添加一个登录表单...等
问题是，当我登录时，它显示CSRF验证失败，我猜这是因为数据不是从模板/注册/login.html发送的？
你知道我应该如何用一种简单的方式解决这个问题吗?我需要编写自己的登录视图吗？
浏览 1提问于2011-07-18得票数 1
2回答
我使用了一个登录表单并通过POST AJAX请求提交了一个模式。我只能登录一次，当我注销并再次登录时，AJAX请求的错误消息是这个(CSRF失败)。
Prohibido (403)
Verificación CSRF fallida. Solicitud abortada
只有当我刷新按F5的整个页面时，登录才能再次工作。登录成功后，我只刷新标题，而不是整个页面。我的刷新代码是：
$('#update-' + idToUpdate).load(' #' + idToUpdate);
编辑： I发现CSRF令牌在成功请求后只能工作一次。我必须为表单再次工作生成一个
浏览 2提问于2017-08-20得票数 0
回答已采纳
2回答
使用JWT实现了Django REST和身份验证。对于JWT令牌，我们必须在它过期之前对其进行刷新。过期后，JWT将不会提供新的令牌。
对于我的移动设备，我需要每10分钟(JWT_EXPIRATION_DELTA)刷新一次令牌。如果用户没有活动超过10分钟，那么我需要要求登录。有没有什么方法可以在JWT令牌过期后刷新令牌。(我们可以将刷新时间限制为2天)
在Mobile中处理这种行为的最好方法是什么？
谢谢。
浏览 1提问于2017-03-02得票数 7
回答已采纳
所以我使用的都是Django构建的，我没有自己的登录视图。
首先，我将描述如何创建导致此错误的场景：
因此，有人登录，并有多个标签打开，然后他们注销。最终，其他选项卡将被指向帐户/登录页面，或者是页面被刷新，或者链接被按下，这实际上并不重要。关键是这个人现在拥有多个选项卡，这些选项卡都在帐户/登录屏幕上，没有人经过身份验证/登录。
所以这个人成功地登录了其中一个选项卡。然后，它们转到另一个选项卡上，这些选项卡仍然在accounts/登录页面上(即使已经创建了一个会话)。
如果这个人然后尝试以登录人的身份登录，或者实际上是任何人，事实上，即使用户名和密码是空的，他们只需单击登录按钮，403 E
浏览 0提问于2018-06-12得票数 3
回答已采纳
2回答
当我尝试使用登录页面时，我得到了Forbidden (CSRF token missing or incorrect.)错误。
设想情况如下：
用户打开两个选项卡。
两个选项卡都是登录页。
在表1中，用户成功登录，并被重定向到需要登录的新页面。
在表2中，用户没有刷新页面，并且仍然在登录页面中。在Django后端，用户已经通过了身份验证，但是前端模板还没有注意到它。
在表2中，当我单击登录按钮时，我会得到Forbidden (CSRF token missing or incorrect.)错误。
我确保了csrf_token的形式。
此错误仅在我使用两个制表符时发
浏览 0提问于2018-09-17得票数 0
回答已采纳
我对基于JWT的身份验证非常陌生。我对刷新令牌机制感到非常困惑。在我的例子中，我将我的应用程序设计为，
用户将登录到应用程序，当登录成功时，它将转到身份验证服务器，签署jwt，并将其传递给客户端。，然后客户端将刷新令牌和短期令牌存储在本地存储中，一旦资源服务器被调用，令牌将通过标头发送。并将得到验证。
我的问题是，在什么情况下，我们应该使用刷新令牌机制请求另一个令牌。在将请求发送到资源服务器之前，我们是否应该检查短期令牌是否被调用。或者，一旦资源服务器中的验证失败，我们是否应该获得新的令牌？或者有没有更好的方法来处理这件事？
浏览 0提问于2017-11-17得票数 0
我有问题的ajax帖子后，我的django电子商务网站用户登录。失败的场景如下： 1-)用户来到网站并将产品添加到购物车没有任何问题。将产品添加到购物车是一个ajax调用，代码如下： function addItemToCart(item_pk, quantity) {
var item_quantity;
if (!quantity) {
item_quantity = 1;
} else {
item_quantity = quantity;
}
$.ajaxSetup({
浏览 18提问于2019-02-22得票数 0
让我解释一下我在做什么？
我在浏览器上打开了两个选项卡，这两个选项卡都显示了我的登录页面(简单的用户名和密码表单)。
使用选项卡1:我登录时提供了正确的凭据。工作正常。
使用选项卡2：(不刷新)我再次尝试使用相同或不同的凭据登录，这会抛出一个403禁止的错误失败原因: CSRF令牌丢失或不正确。
我知道，我在做一些愚蠢的事情，我试图在我已经登录的时候登录它。
我希望防止出现脏403错误，并使过程平滑，因为在第二个登录请求中，当有人已经登录或其他不会中断流程的东西时，应该忽略该请求。我该怎么做呢？
我使用的是Django==1.6.2和django-allauth==0.14.1
浏览 1提问于2014-04-08得票数 1
我使用的是Django Rest Framework和django-rest-auth。
我有标准的API端点(/login，/logout，/registration.)
使用浏览器，我可以登录/列出我的用户/注销。对于失眠症(一个API请求者)，我无法登录/注销，我有错误
"CSRF失败: CSRF令牌丢失或不正确“
也许我需要添加CSRF头，但老实说，我不知道在哪里可以找到这个CSRF令牌.也许我需要添加一些东西(@csrf_protect ?)若要登录端点，但是否被迫完全重写默认视图？
浏览 1提问于2019-04-25得票数 10
我正在使用AppceleratorTit闭锁和Python的Django创建一个移动应用程序。正如您可能已经猜到的，Django被用于后端。目前，我正在尝试创建一个登录表单，它需要一个CSRF令牌才能正确地接受数据。我正试图从Django检索CSRF令牌，但我尝试过，但失败了，而Google没有给我任何答案。
问题是通常您会得到一个包含在表单中的CSRF令牌的HTML页面，然后只发送它。我现在想做的是在不知道CSRF的情况下发个帖子。在appcelerator，我试着跑
HTTPSession.open(GET, *url*)
token = HTTPSession.getRecievedHe
浏览 1提问于2014-09-24得票数 0
回答已采纳
1回答
我正在使用django来设计一个基本的登录和注销页面。下面是我的代码
settings.py
TEMPLATE_CONTEXT_PROCESSORS = (
...........
...........
"django.contrib.messages.context_processors.messages",
"django.core.context_processors.request",
"django.core.context_processors.csrf",
)
MIDDLEWARE_CLA
浏览 2提问于2013-03-01得票数 4
我在frontend.example.com上运行了一个React前端，在backend.example.com上运行了一个Django后端。我正在使用Django Session Authentication，我想正确地实现CSRF protection。 以React登录页面frontend.example.com/login为例。这是用户第一次访问该页面。有一个带有用户和密码的表单，在提交时会向Django后端创建一个新的POST请求。据我所知，CSRF令牌cookie应该已经包含在这个请求中了，对吧？ 如何从Django后台获取CSRF令牌？我正在考虑在加载登录页面时向Django后
浏览 22提问于2020-05-02得票数 0
1回答
如何在Symfony 3中获得CSRF令牌的终身(过期)？我希望在我的登录页面上设置元标记“刷新”，以避免csrf令牌过期的错误。
浏览 1提问于2018-07-17得票数 0
回答已采纳
这很奇怪。我有一个react前端和一个django后端，使用djangorestframework和django-allauth进行身份验证。Postman的一切工作正常。但在浏览器中，当我成功登录、成功注销，然后尝试再次登录时，我收到401未授权错误。正确的用户凭据将在第一次成功时发送到服务器，但仍是一个401错误。但是，在我刷新浏览器之后，我可以再次正常登录。我使用jwt进行身份验证，并在注销之前将令牌附加到authorization标头。我甚至尝试在成功登出后清除授权头，但无济于事。我的react原生前端也存在同样的问题。我不知道这是react还是django问题。有没有人知道问题出在
浏览 18提问于2020-06-10得票数 0
回答已采纳
我正在开发前端的Ionic2，后端的django rest框架和身份验证的django oauth2工具包的移动应用程序。手机app用户提交邮件和密码时，服务器返回client_id、access_token和refresh_token，并保存在手机本地存储中。每当移动应用程序用户打开应用程序时，它都会请求访问令牌和客户端id，以便他们可以自动登录用户。如果此过程失败，则使用刷新令牌再次请求以获得新的访问令牌。
我的问题是，我正在做的方式是正确的，因为移动用户在第一次登录后不再需要登录？而且，即使是手机应用程序用户在很长时间后打开应用程序，比如一年，手机应用程序用户仍然可以在不重新登录的情况下
浏览 1提问于2016-08-10得票数 1
我正在开发统一应用程序。我想登录Django网站。
当web在Django中开发网站时，我们只是在模板中<form action="." method="post">{% csrf_token %}代码。
但是，本机应用程序不知道如何获得csrf令牌。
您能告诉我csrf令牌或如何在C#中创建统一吗？
浏览 1提问于2015-03-26得票数 0
回答已采纳
我使用Django作为我的android应用的后端。我一直在使用@ csrf -exempt注解处理post请求，因为我在从android(VOLLEY库)发送post请求时无法处理csrf验证。现在，我不得不使用django.contrib.auth登录和注销方法，但是当我从安卓发送post请求时，会话不工作。
我试着用我的请求在安卓中启用cookies，但也不起作用(启用cookies也没有解决csrf验证失败的问题).Also我尝试从GET请求中获取csrf令牌到django( django.middleware.csrf - get_token)，然后在post请求的头部(X- csr
浏览 1提问于2018-07-27得票数 5
我有一个GWT web应用程序与Django服务器端一起工作。我最近将Django升级到1.2，无法从我的GWT应用程序中获得HTTP帖子。我得到了这个错误：
CSRF验证失败。请求中止。
失败的原因：
CSRF令牌丢失或不正确。
我已经启用了csrf中间件(‘django.medileware.csrf.CsrfView中间件’)，它正在为登录之类的控制应用程序工作，但似乎没有将令牌添加到通过GWT发布的帖子中。有什么想法吗？提前谢谢。
浏览 2提问于2010-09-20得票数 1
回答已采纳
2回答
我希望我的网站登录表单有一个新的CSRF令牌生成，每次页面被刷新。
我试着打电话
logout(request)
request.session.flush()
但是隐藏表单字段始终具有相同的令牌，即使在服务器重新启动之后也是如此。
这显然意味着django正在读取cookie中的数据。如何使它忽略cookie并生成一个新的cookie？
或者，是否有一种方法可以让我在进入实际登录页面之前清除所有cookie的中间页面？如何删除Javascript中我的域的所有cookie？
浏览 6提问于2015-03-16得票数 1
回答已采纳
1回答
我有一个带有django管理面板的网站，它工作得很好，但我看到的是在刷新管理面板中的表单时，csrf cookie没有重新生成，它显示的是一样的。
浏览 3提问于2016-01-14得票数 2
我在spring安全中使用csrf，如下所示
<http auto-config="false" >
...
<csrf />
...
</http>
并在每个jsp页面中放入如下所示
<meta name="_csrf" content="${_csrf.token}" />
<meta name="_csrf_header" content="${_csrf.headerName}" />
问题是，每次刷新页面时，我都想更改令牌
浏览 1提问于2014-10-11得票数 1
2回答
我在后端使用Spring引导创建Rest，并在前端响应js。我在React上有一个登录表单，是否应该在登录/注册表单上启用csrf令牌。
在用户登录之后，用户将获得访问令牌，我将将该令牌存储在React中的内存中，并将刷新令牌存储在http仅安全的cookie中。我应该在这里也使用CSRF令牌吗？
每当访问令牌过期时，我将使用axios拦截器发送请求刷新令牌路由，如果刷新令牌有效，则将获得新的访问和刷新令牌对。
前端正在本地主机上运行:3000，我在后端配置了cors，只允许来自原始本地主机的请求:3000。
我应该使用CSRF令牌吗。
浏览 20提问于2022-10-12得票数 0
回答已采纳
1回答
我有Native Phone App (在React Native中)和带有基于JWT的身份验证的Express REST API。我有一套7天的过期设置。
我是否应该在每次用户“冷”打开应用程序时刷新(生成新的和抛出旧的)令牌(例如，在两天不活动后)？
或者只是使用旧的，并像前一天一样刷新它，或者再次要求登录组合。
所以我的问题是:刷新它？如果是，什么时候？
浏览 0提问于2019-09-20得票数 0
我使用的是django和一个静态html文件。
我在我的html中添加了{% csrf_token %}标签。
<form data-toggle="validator" role="form" action="/form/" method="post">
{% csrf_token %}
<!some inputs>
</form>
但是当我刷新页面时，我的表单{% csrf_token %}上方有一个文本为什么html标记不起作用？
浏览 0提问于2015-02-22得票数 0
3回答
我面临的问题，419页过期的在Laravel5.7多重认证。如果为了以防万一，我尝试在同一个浏览器中登录用户和admin，但在不同的选项卡中登录。就像在一个选项卡中，用户登录屏幕是打开的，而在第二个选项卡中，管理登录屏幕是打开的。首先，我尝试登录到普通用户和用户登录是成功的。但是，当我转到第二个选项卡并尝试登录管理用户时，在本例中将出现419页过期错误。但是，如果我刷新第二个选项卡，即管理登录尝试之前的管理登录页面，那么admin可以正常工作并成功登录，没有任何错误(419页过期)。你能帮我解决这个问题吗？我已经用表单发送了@csrf令牌。
浏览 7提问于2020-06-09得票数 1
回答已采纳
1回答
我有一个以前可以工作的页面，不幸的是我没有最近的备份，所以我可以返回到页面的最新工作版本。
我有一个页面，它使用allauth来处理创建和登录用户的页面。但是，现在当我填写表单来注册或登录用户时，我得到一个403 error，上面写着CSRF verification failed. Request aborted。
我已经检查了页面的cookies，并且存在一个csrf token。我试着删除它并重新加载页面。再次重新创建了THe cookie，但仍然出现相同的错误。登录到admin页面时也会出现同样的错误，我只能假设登录到其他任何带有form的页面都会出现同样的错误。
我已经在我的设置文件
浏览 1提问于2015-10-06得票数 0
2回答
所以我想知道在这里该做些什么。我正在从iOS对我的Django服务器进行POST调用，并且一直收到403错误(无效的CSRF令牌)。我正在考虑实现一个函数，该函数将返回令牌(您需要登录才能访问该函数)，然后将令牌添加到我的POST调用中。
现在..。我不明白这样做的意义是什么？如果我使用TastyPie，并且所需的登录名是APIKey...我应该免除csrf检查吗？
为了确保我理解正确..。是否为每个用户会话生成CSRF？因此，如果我不使用Cookie，那么CSRF就没有必要了吗？
人们通常如何使用带有iOS的Django服务器并进行这样的POST调用？
谢谢!
浏览 1提问于2012-11-21得票数 11
我使用AWS Cognito来处理oauth身份验证，在登录之后，cognito每小时返回一个令牌进行刷新。我使用setTimeout每小时刷新一次这个令牌，但是如果用户刷新页面，这将不再起作用。有人知道这个的替代方案吗？ 我尝试使用rxjs中的setTimeout和interval每小时刷新一次令牌，但在页面刷新后出现了同样的问题。 private async setAutoRefreshToken() {
return interval(3500000).pipe(startWith(1), switchMap(() => this.authService.refreshT
浏览 11提问于2019-10-11得票数 0
回答已采纳
1回答
关于访问令牌和服务器将要创建的刷新令牌，我有几个问题。
我有一个网站和日志用户，我将使用Javascript框架和很多HTTP请求到我的API。
如果我正确理解，当我的服务器在成功登录后创建访问令牌和刷新令牌时，我将在json中返回这2个令牌？我说得对吗？
然后，前端(Javascript框架)将存储这两个令牌，在每个HTTP请求中，前端将在报头承载中发送访问令牌，对吗？
最后一个问题是，如果一个登录成员关闭了他的浏览器，几个小时后他返回到该站点，我是否从cookie中获得访问令牌？
这是自动连接已经连接的成员的方式吗？
非常感谢！祝你一天愉快
浏览 7提问于2022-02-24得票数 0
回答已采纳
我正在为c#中的某个应用程序构建一个插件，它必须与Django rest接口通信。如您所知，Django使用CSRF令牌来提供额外的安全性。
在给Django打POST/PUT电话时，我遇到了问题。调用将始终返回"CSRF失败: CSRF令牌丢失或不正确“。我在浏览器中测试了调用( web接口也可以编辑数据，并将调用相同的PUT请求)，令我惊讶的是，头中使用的csrf令牌值与存储在cookie中的令牌值不同。头应该使用新生成的令牌吗？在此调用之后，将不再使用值(旧的csrftoken值仍然用于所有后续调用.)。
显然，我还读过有关csrf令牌的Django文档。尽管我认为我理解它的工作
浏览 1提问于2018-09-05得票数 1
回答已采纳
我使用Django REST框架JWT Auth进行会话创建和权限，唯一的问题是:当我登录和令牌过期后，我无法继续执行我想要的操作，除非我再次登录。我没有完全理解为附加设置提供的文档。
因此，任何人都可以解释动态创建(并刷新)我的令牌的方法(遵循最佳实践)，以便在登录时继续执行操作。
P.S:我的前端使用了角2，我在Http请求头中插入标记。谢谢。
浏览 3提问于2017-05-04得票数 10
回答已采纳
我正在尝试使用Django和django-allauth来连接Gmail API进行身份验证。我已经根据配置了我的项目。我可以使用Google帐户登录，并可以在Django管理页面上看到帐户详细信息。我仍然无法检索令牌并刷新令牌来创建要传递给Gmail API的google.oath2.credentials.Credential对象。
这是我目前的尝试：
from allauth.socialaccount.models import SocialApp, SocialAccount
from google.oauth2.credentials import Credentials
def
浏览 0提问于2020-10-18得票数 0
1回答
我在我的Django(V2.2.3)应用程序中使用Google sign-in来验证用户。所以，我从谷歌请求响应类型为"authorization_code“，并将其交换为id_token，并交换用户信息的id_token。 现在，我有一个案例，用户的电子邮件id在登录后可能会被挂起。因此，我必须定期验证电子邮件地址。由于我使用的是谷歌登录，我想知道我是否可以使用id_token来验证电子邮件地址。但id_token将在1小时后过期。有没有办法在不提示用户重新登录的情况下静默刷新id_token？ 任何帮助都将不胜感激。谢谢
浏览 26提问于2020-08-04得票数 0
回答已采纳
我正在学习react，并尝试使用django-rest框架(后端)和react(前端)生成登录表单。在function中，我创建了一个登录表单，当我提交该表单时，它会向我的视图函数发送一个axios.post。问题是django引发了一个错误，消息是:禁忌( cookie未设置)。
Obs1 1:如果我包括de @api_view('POST')装饰师，但我想知道是否有可能在没有它的情况下发出请求。
Obs2:当我的react呈现时，调用了一个创建csrf_token的函数，因此发送了csrf_token，但是django没有读取
Obs3: My django在 ，reac
浏览 2提问于2021-12-28得票数 0
2回答
使用会话到期的PHP令牌
、、、
当用户来到我的登录页面时，我会生成一个CSRF令牌：
if (empty($_SESSION['csrf_token']))
$_SESSION['csrf_token'] = bin2hex(openssl_random_pseudo_bytes(32));
然后以我的形式将其显示为隐藏的输入：
<input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">
浏览 1提问于2018-02-02得票数 1
回答已采纳
我读过很多文章，看过很多视频，但是有很多矛盾。我试图避免任何外部库，并从头开始构建系统，我读过关于oAuth 2的文章，但它更令人困惑。
这就是我认为一直到现在还可以的流程：
用户使用电子邮件和密码填写表单并提交。
服务器验证密码是否匹配，并使用带有签名jwt令牌的httponly cookie进行响应，该标记在大约10分钟内过期。(我知道我必须保护它不受csrf攻击)
用户登录后，他向服务器发出的每一个新请求都将自动发送标头中的cookie，服务器将验证令牌。
一切都很好，但我遇到了一些问题，也有一些问题：
我希望用户即使在打开一个新的会话之后也能继续登录，因此在令牌过期
浏览 0提问于2019-04-09得票数 1
回答已采纳
我正在尝试实现以下工作流。
填充html表单
提交
接收请求的端点(高速公路)执行一些处理，并将一个带有req.body的请求发送到另一个后端(Django)。
Django返回对高速公路的响应。
问题是，我被困在csrf级别，更确切地说是得到了这个错误：
invalid csrf token
403
ForbiddenError: invalid csrf token
下面是用于请求的代码：
router.post('/registration', function (req, res, next) {
axios.post('
浏览 0提问于2019-05-11得票数 0
1回答
我正在创建一个登录注册系统，在前端使用React并在后端表示js。
在这个系统中，我将使用访问和刷新令牌。当用户登录时，该用户将获得访问令牌，该令牌将存储在React中的内存中，而刷新令牌将存储在Http仅安全cookie中。
但是这里的主要问题是，当用户注册或登录我的网站时，用户将通过我的网站上的提交表单向我的后端api发出帖子请求。由于用户从react向后端发出post请求，我是否应该在我的前端使用CSRF令牌。
另外，我在后端使用CORS，这将只允许我的React应用程序向后端api发送请求。另外，刷新令牌仅存储在http安全cookie中，每当访问令牌过期时，我将发送请求刷新令牌路由，
浏览 4提问于2022-10-07得票数 0
我正在使用CI 2。我已在配置文件中启用了CSRF保护：
$config['csrf_protection'] = TRUE;
$config['csrf_token_name'] = 'sitename';
$config['csrf_cookie_name'] = 'sitename';
$config['csrf_expire'] = 7200;
我只使用Codeigniter表单。有时我在提交表单或登录时会收到错误消息“您未被授权执行此操作”。
如果我刷新并再
浏览 1提问于2011-08-09得票数 2
我有一个ID4认证服务器，可以很好地与一个Angular应用程序一起工作，该应用程序实现了带有SilentRefresh和PCKE授权流程的angular-oauth2-oidc。 一切都运行得很好- ID4被配置为为AccessTokens服务，生命周期为5分钟，而Angular应用程序将每分钟静默刷新一次令牌(可能会在经过0.75时间后更改为刷新)。然而，我发现的问题是，我可以在登录后关闭浏览器-然后在10分钟后在网站上再次打开它(在原始AccessToken过期而没有刷新之后)-但是静默刷新会刷新令牌，用户仍保持登录状态。这是一个重大的安全漏洞。 我的客户端配置如下所示： {
浏览 53提问于2021-02-03得票数 0
1回答
我注意到，当使用django时，当你发出post请求时，例如使用一个表单，django会要求你添加csrf令牌，但是当我使用react从django rest框架创建的api中获取数据时，我意识到当我没有发送csrf令牌时，应用程序没有任何错误。
在这个应用中，我正在使用knox的令牌认证，我已经看到了一些关于如何使用csrf令牌进行会话认证的帖子。
我的问题是令牌身份验证是否不需要csrf令牌，或者它们是由react自动传递的吗？提前谢谢。
浏览 4提问于2021-02-18得票数 0
1回答
设置
一个具有django (1.9.9) rest框架(3.5.3)的角应用程序(~1.5)和django，其中nginx通过/api的uwsgi直接为客户机提供静态文件
djangorestframework-jwt用于为客户端提供和验证JWT令牌。
复制错误：
用户成功登录到客户端前端(角应用程序)。
用户单击一个链接并从api中获取一些数据。
用户单击以编辑数据并更改表单数据并将其放到api中。
平安无事
用户使用相同的用户名和密码登录到/api并通过DRF可浏览API登录。
返回/并尝试再次提交带有PUT的表单。
角转发django服务器中的以下错误。
浏览 8提问于2017-01-05得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
