La balise de protection CSRF {% csrf_token%} est-elle toujours nécessaire dans Django 1.2?

Question

Je teste la protection CSRF sur mon site et j'ai remarqué quelque chose d'inattendu.

J'ai supprimé {% csrf_token %} de mon formulaire et la soumission fonctionne toujours. Je ne pouvais pas comprendre pourquoi. J'ai ensuite regardé la source et j'ai réalisé que le jeton était toujours là juste à côté de l'élément <form>. J'ai changé l'identifiant du formulaire pour m'assurer qu'il mettait définitivement à jour la source et c'était mais l'entrée cachée est toujours là. Je utilise Django 1.2. Est-ce que {% csrf_token %} est toujours nécessaire?

Vive

Rich

Answer 1

De la documentation:

Dans Django 1.1, la balise de modèle n'existait pas. Au lieu de cela, un middleware de post-traitement qui a réécrit des formulaires POST pour inclure le jeton CSRF a été utilisé. Si vous mettez à niveau un site depuis la version 1.1 ou antérieure, veuillez lire cette section et le Upgrading notes ci-dessous.

http://docs.djangoproject.com/en/dev/ref/contrib/csrf/#legacy-method

Answer 2

Après une enquête plus approfondie, il apparaît le {% csrf_token %} est toujours inséré si la forme a méthode post et non si elle ne fonctionne pas. Protection automatique très intelligente de Django.