未设置CSRF Coo​​kie [Django / AngularJS]

问题描述

首先，这不是重复的问题。我已经尝试了所有关于stackoverflow的相关文章，但是找不到解决方案。

我有一个用于后端的Django应用程序和一个用于前端的AngularJS应用程序。我正在使用djangorestframework-jwt进行API身份验证。我有一个不需要任何身份验证的API端点，并且仅在该端点上的浏览器上出现CSRF Failed: CSRF cookie not set错误。

在django设置中，我有：

ALLOWED_HOSTS = ['*']

，它不包含任何CSRF_COOKIE_SECURE，CSRF_COOKIE_HTTPONLY或SESSION_COOKIE_SECURE设置。

djangorestframework-jwt的设置是：

JWT_AUTH = {
    'JWT_SECRET_KEY': SECRET_KEY,'JWT_ALGORITHM': 'HS256','JWT_VERIFY': True,'JWT_VERIFY_EXPIRATION': True,'JWT_EXPIRATION_DELTA': datetime.timedelta(seconds=3000),'JWT_ALLOW_REFRESH': True,'JWT_REFRESH_EXPIRATION_DELTA': datetime.timedelta(days=1),'JWT_AUTH_COOKIE': 'refresh-token'
}

我注意到，在浏览器cookie中，如果有任何refresh-token键，则端点可以正常工作。当浏览器cookie中不存在该密钥时，就会出现问题。我设置了'JWT_AUTH_COOKIE': None或删除了以下几行：

'JWT_ALLOW_REFRESH': True,'JWT_AUTH_COOKIE': 'refresh-token'

从JWT_AUTH设置开始，没有运气。

我也为此端点尝试了@csrf_excempt，但是那也不起作用。

有趣的是，当我从邮递员发送请求时，它起作用了。

这是我从前端发送的请求：

$http({
    url: url,method: "PUT",headers: {
        'Content-Type': 'application/json'
    },data: data
})

我想知道为什么浏览器cookie中没有refresh_token键时出现错误的原因，以及如何解决此问题。

解决方法

我通过在Http请求标头中添加'X-CSRFToken': $cookies.get("csrftoken")解决了我的问题，因此请求现在看起来像这样：

$http({
    url: url,method: "PUT",headers: {
        'Content-Type': 'application/json','X-CSRFToken': $cookies.get("csrftoken")
    },data: data
})