去掉django rest framework强制的csrf检查_django rest framework 去掉csrf-优快云博客

在开发过程中，遇到前端localhost向后端开发服务器POST请求时，出现CSRF校验错误。尽管已取消Django的CSRF middleware，但Django REST Framework的SessionAuthorization仍会执行CSRF检查。通过查看源代码，发现SessionAuthorization内部调用了CSRF验证。为允许跨域请求，可以注释相关代码或修改设置。了解Django middleware的工作原理，可以通过创建自定义middleware，在process view阶段为request添加属性，从而跳过默认的CSRF检查。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

近期的项目，前端的js是在localhost上跑的，然后向我们后端的开发服务器进行请求。但是突然前端说所有的post请求都报csrf校验错误了，甚是奇怪，之前为了开发方便已经把django的csrf middleware注释掉了啊，为什么还会错误，由于返回值格式还是django rest的通用格式，肯定问题是出在这里面，于是翻了一下它的源代码看了看。

from django.middleware.csrf import CsrfViewMiddleware

class CSRFCheck(CsrfViewMiddleware):
    def _reject(self, request, reason):
        # Return the failure reason instead of an HttpResponse
        return reason

class SessionAuthentication(BaseAuthentication):
    """
    Use Django's session framework for authentication.
    """

    def authenticate(self, request):
        """
        Returns a `User` if the request session currently has a logged in user.
        Otherwise returns `None`.
        """

        # Get the underlying HttpRequest object
        request = request._request
        user = getattr(request, 'user', None)

        # Unauthenticated, CSRF validation not required
        if not user or not user.is_active:
            return None

        self.enforce_csrf(request)

        # CSRF passed with authenticated user
        return (user, None)

    def enforce_csrf(self, request):
        """
        Enforce CSRF validation for session based authentication.
        """
        reason = CSRFCheck().process_view(request, None, (), {})
        if reason:
            # CSRF failed, bail with explicit error message
            raise exceptions.PermissionDenied('CSRF Failed: %s' % reason)

原来是这样，最近给系统增加了用户登陆功能，使用的就是SessionAuthorization和TokenAuthorization，然后在SessionAuthorization中调用了self.enforce_csrf(request)而这个调用的又是上面的CSRFCheck，这个类是重载了django里面的csrf middleware，而且没发现有地方可以关掉这个功能，即使在django里面去掉这个middleware，但是这个还是会调用的。

那怎么去掉这个功能呢，我们现在就是要进行跨域请求。

最简单了，直接注释掉上面的self.enforce_csrf(request)这一行代码就行了或者在设置中添加一项，比如改成