Des tonnes de faux positifs provenant du middleware CSRF de Django?

Question

Je reçois des tonnes de faux positifs du middleware CSRF de Django. Juste de l'utilisation normale du site il y aura beaucoup de cas où le CSRF commence juste à bloquer des demandes comme attaques suspectes de faux.

Est-ce que quelqu'un d'autre a des problèmes comme celui-ci? J'utilise la branche SVN de Django pour avoir la dernière version du middleware CSRF. Comment pourrais-je diagnostiquer ces problèmes?

Mise à jour: je vois ces faux positifs sur mes sites de production et de développement. Ils se produisent sporadiquement. Mon site utilise des sous-domaines et il existe une autre version de développement/production du site qui fonctionne sur différents serveurs mais est séparée par un sous-domaine. Qu'est-ce qui déclenche les alertes d'attaque CSRF? Est-ce quand un cookie dev est envoyé sur le site de production? Un déplacement entre sous-domaines pour le même utilisateur connecté poserait-il des problèmes?

Answer 1

La protection CSRF dans Django est basée sur le champ caché plus session de travail correcte. Si vous utilisez des sous-domaines pour différencier ces deux sites, vérifiez si votre settings.SESSION_COOKIE_DOMAIN est set properly to handle your case.