將csrf標記傳遞給條帶

Question

我正在使用stripe.js進行條帶支付。我需要設置一個回調wenhook來接收來自條帶的請求。

由於webhook是通過條帶發佈的 - 我已將其標記爲csrf_excempt。

1. 製作此視圖是否有任何風險csrf_excempt？
2. 如果我在這個視圖上應該有csrf保護，我該如何通過並從條帶中獲取csrf標記？

Answer 1

這不起作用。絕對禁用來自Stripe的回調的csrf。

即使你..

• 通過csrf_token以條紋
• 找到一種方式來獲得條紋張貼同樣回到你的回調URL

令牌就與此無關在這一點上，因爲令牌只適用於您當前的瀏覽器會話（通常是cookie）。

CSRF令牌根據每個請求生成併發送到瀏覽器以存儲在cookie中。 Stripe不會有這個cookie，因此你會得到一個CSRF錯誤。

Answer 2

您可能還會考慮將來只使用django-stripe-payments。

Answer 3

由於接受的答案表示無法使用帶條帶回調的CSRF令牌。

Stripe Webhook Documentation中推薦的安全方法是使用傳入webhook中的ID將請求發送回Stripe以獲取完整的事件詳細信息。