Django Rest Framework 删除 csrf

我知道有关于 Django Rest Framework 的答案，但我找不到解决我的问题的方法。

我有一个具有身份验证和一些功能的应用程序。 我向其中添加了一个新应用程序，它使用 Django Rest Framework。我只想在这个应用程序中使用该库。我还想发出 POST 请求，并且总是收到以下响应：

{
    "detail": "CSRF Failed: CSRF token missing or incorrect."
}

我有以下代码：

# urls.py
from django.conf.urls import patterns, url


urlpatterns = patterns(
    'api.views',
    url(r'^object/$', views.Object.as_view()),
)

# views.py
from rest_framework.views import APIView
from rest_framework.response import Response
from django.views.decorators.csrf import csrf_exempt


class Object(APIView):

    @csrf_exempt
    def post(self, request, format=None):
        return Response({'received data': request.data})

我想添加 API 而不影响当前应用程序。 所以我的问题是如何仅针对此应用程序禁用 CSRF？

注意：从安全角度来看，禁用 CSRF 是不安全的。请根据您的判断来使用以下方法。

为什么会发生这个错误？

发生这种情况是因为默认SessionAuthenticationDRF 使用的方案。 DRF 的SessionAuthentication使用Django的会话框架进行身份验证，需要检查CSRF。

当你没有定义任何authentication_classes在您的视图/视图集中，DRF 使用此身份验证类作为默认值。

'DEFAULT_AUTHENTICATION_CLASSES'= (
    'rest_framework.authentication.SessionAuthentication',
    'rest_framework.authentication.BasicAuthentication'
),

由于 DRF 需要支持对同一视图的基于会话和非会话的身份验证，因此它仅对经过身份验证的用户强制执行 CSRF 检查。这意味着只有经过身份验证的请求才需要 CSRF 令牌，并且可以在没有 CSRF 令牌的情况下发送匿名请求。

如果您将 AJAX 样式 API 与 SessionAuthentication 一起使用，则需要为任何“不安全”HTTP 方法调用包含有效的 CSRF 令牌，例如PUT, PATCH, POST or DELETE要求。

那该怎么办呢？

现在要禁用 csrf 检查，您可以创建自定义身份验证类CsrfExemptSessionAuthentication它从默认扩展SessionAuthentication班级。在此身份验证类中，我们将重写enforce_csrf()检查实际发生的情况SessionAuthentication.

from rest_framework.authentication import SessionAuthentication, BasicAuthentication 

class CsrfExemptSessionAuthentication(SessionAuthentication):

    def enforce_csrf(self, request):
        return  # To not perform the csrf check previously happening

在你看来，那么你可以定义authentication_classes to be:

authentication_classes = (CsrfExemptSessionAuthentication, BasicAuthentication)

这应该可以处理 csrf 错误。