在基于会话的CSRF中使用Django REST框架

CSRF_USE_SESSIONS = True .

然而,DRF web UI依赖于这个cookie进行所有交互。这似乎是通过读取 csrftoken cookie和设置 X-CSRFToken django.middleware.csrf.CsrfViewMiddleware.process_view() 如果隐藏字段未包含在请求正文中。此代码设置自 rest_framework.templates.rest_framework.base.html :

<script>
  window.drf = {
    csrfHeaderName: "{{ csrf_header_name|default:'X-CSRFToken' }}",
    csrfCookieName: "{{ csrf_cookie_name|default:'csrftoken' }}"
  };
</script>

不使用的DRF表单 POST PUT , PATCH ,和 DELETE 请求以403响应失败。

我 相信 CSRF_USE_SESSIONS=True ?