Przekazywanie tokena csrf na pasek

Question

Używam paska stripe.js do rozłożenia pasków. Muszę skonfigurować Wenhook wywołania zwrotnego, aby otrzymać żądanie z paskiem.

Ponieważ webhook jest wysyłany przy użyciu paska - zaznaczyłem go jako csrf_excempt.

1. Czy istnieje ryzyko związane z wyświetlaniem tego widoku csrf_excempt?
2. Jeśli powinienem mieć ochronę csrf w tym widoku, w jaki sposób mogę przekazać i odzyskać tokeny csrf z paska?

Answer 1

To nie zadziała. Zdecydowanie wyłącz csrf dla wywołania zwrotnego ze Stripe.

nawet jeśli ..

• przeszły csrf_token do naszywka
• znaleźli sposób, aby uzyskać pasek aby umieścić ten sam żeton z powrotem do wywołania zwrotnego adresu URL

Token byłby nieistotny w tym momencie, ponieważ token jest tylko dla bieżącej sesji przeglądarki (zazwyczaj jest to plik cookie).

Token CSRF generowany jest na każde żądanie i wysyłany do przeglądarki w celu zapisania w pliku cookie. Stripe nie będzie mieć tego ciasteczka, a więc otrzymasz błąd CSRF.

Answer 2

Możesz również rozważyć użycie tylko django-stripe-payments w przyszłości.

Answer 3

Zgodnie z przyjętą odpowiedzią nie ma możliwości użycia tokenu CSRF z odwołaniami do pasków.

Zalecanym podejściem do zabezpieczenia w Stripe Webhook Documentation jest użycie ID z przychodzącego webhooka, aby wysłać żądanie z powrotem do Stripe w celu uzyskania pełnych szczegółów wydarzenia.