Flask-Security CSRF token

Question

Mam aplikację kolby, która służy jako backend API REST. Chciałbym zaimplementować uwierzytelnianie oparte na tokenach dla zaplecza, ale aby to zrobić, muszę pobrać token użytkownika. Dokumentacja Flask-Security wyraźnie mówi, że aby pobrać token, należy wykonać test POST HTTP z danymi uwierzytelniającymi jako danymi JSON do punktu końcowego uwierzytelniania. Niestety nie rozumiem, jak odzyskać token CSRF potrzebny do wykonania takiego żądania.

Jeśli użyję strony logowania/szablonu dostarczonego z rozszerzeniem, token CSRF zostanie przekazany klientowi w ukrytym polu w formularzu. Pytanie brzmi:

Jak pobrać token CSRF bez uzyskiwania dostępu i analizowania strony logowania, na przykład z aplikacji angularowej JS przy użyciu metod $ http lub aplikacji mobilnej?

Oczywiście mogłem uniknąć używania Flask-Security i samemu wdrożyć te elementy, ale jestem stosunkowo niedoświadczony przez webappy i czuję, że mogę podejść do tego w niewłaściwy sposób.

Answer 1

Nie przetestowałem, że to działa, ale z krótkiej kontroli source code wydaje się, że musisz wysłać żądanie GET do adresu URL logowania z typem treści ustawionym na application/json. Flask-Security odpowiada na to żądanie za pomocą formularza logowania JSON zawierającego token. Gdy masz token, możesz wysłać żądanie POST.

Answer 2

miałem podobny przypadek użycia, a zakończył go rozwiązać, wykonując ten przykład z docs Kolba-WTF: https://flask-wtf.readthedocs.org/en/latest/csrf.html#ajax

Więc przez CSRF Ochrona aplikację poprzez CsrfProtect(app) The csrf_token() będzie dostępny we wszystkich szablonów. Następnie można łatwo udostępnić go za pomocą tagu skryptu:

<script type="text/javascript"> 
    var csrftoken = "{{ csrf_token() }}" 
</script> 

Teraz dodać token do danych pocztowych do kolby-zabezpieczający końcowym/logowania.

Answer 3

[Pisanie jako odpowiedź, ponieważ nie ma wystarczającej reputacji komentarz]

mam napotkasz dokładnie ten sam problem jak Jacopo, że - request.json jest pusta, a zatem get_auth_token() nie jest wyzwalany .

BTW - Flask Security documentation mówi: uwierzytelnianie oparte

Reklamowe jest włączone pobieranie tokenu uwierzytelniania użytkownika poprzez wykonanie HTTP POST ze szczegółami uwierzytelniania jak dane JSON przeciwko końcowego uwierzytelniania.

Więc próbowałem POST, nie GET (nadal ten sam problem z pustym request.json) Zadzwoniłem/login z danych JSON jak:

{"email": "test@example.com", "password": "test123"} 

i wysłał żądanie przy użyciu Postman klienta w Google Chrome .

Jednak request.json jest pusty :(

Edit. Byłem w stanie poruszać się do przodu za pomocą modułu żądania Python Dane here

Answer 4

Walczyłem z tym problemem przez kilka godzin w nocy.Oto, co skończyło się pracować dla mnie:

Kiedy tworzę aplikację instancję:

app = Flask(__name__) 
app.config.from_object(config_by_name[config_name]) 

# Create database connection object 
app.db = db 
app.db.init_app(app) 

CsrfProtect(app) 

W moim/logowania HTML:

<meta name="csrf-token" content="{{ csrf_token() }}"> 

Od Listonosz:

Oto alternatywa, którą próbowałem, a może to będzie bardziej udane? Jest to w zasadzie ta sama odpowiedź, że kolba przykładowe aplikacje dają bezpieczeństwo:

Answer 5

Cóż, nie jest to prosty sposób. Visit. Element konfiguracji WTF_CSRF_ENABLED można ustawić na False, aby wyłączyć csrf. Wtedy wszystko idzie tak, jak chcesz.