django - Django CSRF cookie HttpOnly

Question

是否可以将 django csrf cookie 设置为仅限 http？SESSION_COOKIE_HTTPONLY类似于会话 cookie，但对于 csrf 呢？

score 26 · Accepted Answer

26

CSRF_COOKIE_HTTPONLYDjango 1.6+ 中提供了一个新设置。

于 2013-08-27T02:50:36.793 回答

score 15 · Accepted Answer

对于 Django1.6+，检查接受的答案。对于 Django1.5 和 prev，没有设置选项。

您可以覆盖并使用自定义的process_response()方法而不是indjango.middleware.csrf.CsrfViewMiddlewareCsrfViewMiddlewareMIDDLEWARE_CLASSES

class Foo(CsrfViewMiddleware):
    def process_response(self, request, response):
        response = super(Foo, self).process_response(request, response)
        response.cookies[settings.CSRF_COOKIE_NAME]['httponly'] = True
        return response

CsrfViewMiddleware或者在响应之后调用的另一个中间件中

class Foo(object):
    def process_response(self, request, response):
        if settings.CSRF_COOKIE_NAME in response.cookies:
            response.cookies[settings.CSRF_COOKIE_NAME]['httponly'] = True
        return response