从Node.js传递CSRF令牌到Django

Question

我正在使用Django（1.5）编写一个简单的多人文字游戏应用程序。根据这里的示例，我使用了一个独立的Node.js服务器和Socket.io来管理客户端连接。

我的问题分为两个部分：

1. 上述教程在API视图中使用了@csrf_exempt。由于POST不是来自客户端，而是来自本地主机的Node.js服务器，如果不使用CSRF保护，我会面临什么样的风险？

2. 由于我对上述问题不确定，我想使用CSRF保护。我已经尝试从Django提供的cookie中提取CSRF令牌（如文档所建议的），并将其与POST一起发送，但仍然收到403响应。

game_server.js:

io.configure(function () {
    io.set('authorization', function (data, accept) {
        if (data.headers.cookie) {
            data.cookie = cookie_reader.parse(data.headers.cookie);
            return accept(null, true);
        }
        return accept('error', false);
    });
    io.set('log level', 1);
});

io.sockets.on('connection', function (socket) {

    socket.on('check_word', function (data) {
        values = querystring.stringify({
            word: data,
            sessionid: socket.handshake.cookie['sessionid']
        });

        var options = {
            host: 'localhost',
            port: 8000,
            path: '/node/check_word',
            method: 'POST',
            headers: {
                'X-CSRFToken': socket.handshake.cookie['csrftoken'],
                'Content-Type': 'application/x-www-form-urlencoded',
                'Content-Length': values.length
            }
        };

        var req = http.request(options, function (res) {
            res.setEncoding('utf8');

            res.on('data', function (message) {
                if (message) {
                    console.log(message);
                }
            });
        });

        req.write(values);
        req.end();
    });
});

game.html（仅包含脚本部分）：

(function ($) {
  var socket = io.connect('localhost', { port: 4000 });

  socket.on('connect', function () {
    console.log("connected");
  });

  word_el = $('#word-input');

  word_el.keypress(function (event) {
    if (event.keyCode === 13) {
      // Enter key pressed
      var word = word_el.attr('value');
      if (word) {
        socket.emit('check_word', word, function (data) {
          console.log(data);
        });
      }

      word_el.attr('value', '');
    }
  });
})(jQuery);

views.py:

@ensure_csrf_cookie
def check_word(request):
    return HttpResponse("MATCH:" + request.POST.get('word'))

非常感谢您的帮助！

- ACEfanatic02

Answer 1

经过一番研究和实验，我解决了这个问题。

我的发现如下：

1. 在这种情况下，CSRF并不会导致任何实质性的攻击。理论上它打开了一个作弊的途径，但是这需要很大的难度（需要伪造会话ID并针对当前正在进行的游戏），而且没有任何回报。然而，在其他应用程序中，例如聊天，这里的CSRF漏洞允许某人冒充另一个用户，这是一个更重要的问题。因此，我们需要深入挖掘...

2. 我最初尝试通过AJAX头解决问题是错误的。首先，请求实际上并不是通过AJAX发送的。（request.is_ajax()在视图中返回False。）其次，从Django接收到的错误页面引用了“CSRF cookie not set”作为失败原因。

所有这些都构建成了解决方案：

var options = {
    // snip...
    headers: {
        'Cookie': 'csrftoken=' + socket.handshake.cookie['csrftoken'],
        'Content-Type': 'application/x-www-form-urlencoded',
        'Content-Length': values.length
    }
};

添加正确的'Cookie'头，请求将成功。

- ACEfanatic02