CSRFとAPI

CoddyのDjangoジャーニー「JSON API」セクションの一部。レッスン 6/19。

POST /api/tasks/を送信する実際のプログラムには、403 Forbiddenが返されます。DjangoのCSRF保護では、別のウェブサイトが訪問者のブラウザーからフォームを送信できないよう、すべてのPOSTリクエストに自分のページから取得した秘密のトークンを含める必要があります。プログラムには、そのようなページもトークンもありません。

django.views.decorators.csrfにある@csrf_exemptを使うと、1つのビューでこのチェックを無効にできます。

@csrf_exempt
def webhook(request):
    ...

ただし、その代わりにリスクが生じます。どのウェブサイトからでも、訪問者のブラウザーにこのPOSTを送信させることができるようになります。タスクリストのように、ログインしているユーザーが誰かに依存しないビューであれば問題ありません。ログイン中のユーザーとして動作するAPIではCSRF保護を有効にしたままにし、そのページのスクリプトからトークンをX-CSRFTokenヘッダーに含めて送信します。

チャレンジ

中級

CSRF トークンなしでプログラムからタスクを作成できるようにします。

POST /api/tasks/ はトークンなしで機能します。
例外となるのは task_list だけです。

「実行」を押してから、Shell タブに次のコードを入力します。変更前は 403 と表示され、変更後は 201 と表示されます。from django.test import Client; print(Client(enforce_csrf_checks=True).post("/api/tasks/", {"title": "Pay rent"}, content_type="application/json").status_code)

自分で試してみよう

import json

from django.http import JsonResponse
from django.shortcuts import render

from .models import Task


def task_to_dict(task):
    return {
        "id": task.id,
        "title": task.title,
        "done": task.done,
        "priority": task.priority,
    }


def home(request):
    return render(request, "tasks/home.html", {"tasks": Task.objects.all()})


def stats(request):
    data = {
        "total": Task.objects.count(),
        "done": Task.objects.filter(done=True).count(),
    }
    return JsonResponse(data)


def task_list(request):
    if request.method == "POST":
        data = json.loads(request.body)
        task = Task.objects.create(
            title=data["title"],
            priority=data.get("priority", "normal"),
        )
        return JsonResponse(task_to_dict(task), status=201)
    tasks = Task.objects.all()
    done = request.GET.get("done")
    if done == "true":
        tasks = tasks.filter(done=True)
    elif done == "false":
        tasks = tasks.filter(done=False)
    return JsonResponse([task_to_dict(task) for task in tasks], safe=False)


def task_detail(request, pk):
    task = Task.objects.filter(pk=pk).first()
    if task is None:
        return JsonResponse({"error": "Task not found"}, status=404)
    return JsonResponse(task_to_dict(task))