Flocks-Security CSRF token

Question

У меня есть флеш-приложение, которое служит в качестве REST API-сервера. Я хотел бы реализовать аутентификацию на основе токенов для бэкэнд, но для этого мне нужно получить токен пользователя. Документация Flask-Security ясно говорит о том, что для извлечения токена необходимо выполнить HTTP POST с данными аутентификации в виде данных JSON для конечной точки аутентификации. К сожалению, я не понимаю, как получить токен CSRF, необходимый для выполнения такого запроса.

Если я использую страницу входа/шаблон, прилагаемый к расширению, токен CSRF передается клиенту в скрытом поле в форме. Вопрос следующий:

Как получить токен CSRF без доступа и анализа страницы входа, например, из приложения angularJS с использованием методов $ http или мобильного приложения?

Очевидно, я мог бы избежать использования флеш-безопасности и реализовать объекты самостоятельно, но я относительно неопытен с webapps, и я чувствую, что, возможно, приближаюсь к этому неправильно.

Answer 1

Я не проверял, что это работает, но из-за кратковременного осмотра source code, вам нужно отправить запрос GET на URL-адрес входа с типом контента, установленным на application/json. Flask-Security отвечает на этот запрос версией входа в систему JSON и включает токен. Когда у вас есть токен, вы можете отправить запрос POST.

Answer 2

У меня был подобный случай использования и закончил ее решение, следуя этот пример из документации Колбы-ВТФ: https://flask-wtf.readthedocs.org/en/latest/csrf.html#ajax

Итак, CSRF Защиты приложения с помощью CsrfProtect(app), то csrf_token() становится доступным во всех шаблонах. Тогда вы можете легко сделать его доступным с помощью тега сценария:

<script type="text/javascript"> 
    var csrftoken = "{{ csrf_token() }}" 
</script> 

Теперь добавьте маркер ваших почтовых данных для Колба-Security/входа конечной точки.

Answer 3

[Запись в качестве ответа, так как я не хватает репутации комментировать]

я столкнулся с точно такой же проблемой, как Якопо, в том, что - request.json пуст, и, таким образом, get_auth_token() не срабатывает ,

BTW - Flask Security documentation говорит: аутентификация на основе

Токена включена путем извлечения маркеров Идент.польза путем выполнения POST HTTP с подробной информацией аутентификации, как данные в формате JSON от конечной точки аутентификации.

Так что я попытался POST, а не GET (по-прежнему та же проблема пустого request.json) Я позвонил/Войти с JSon данными, как:

{"email": "test@example.com", "password": "test123"} 

и направил запрос с использованием Почтальон клиента в Google Chrome ,

Но request.json пуста :(

Edit:. Я был в состоянии двигаться вперед, используя модуль запроса питона Подробнее here

Answer 4

Я боролся с этой проблемой в течение нескольких часов вчера вечером.Вот что в конечном итоге работает для меня:

Когда я создаю мое приложение экземпляра:

app = Flask(__name__) 
app.config.from_object(config_by_name[config_name]) 

# Create database connection object 
app.db = db 
app.db.init_app(app) 

CsrfProtect(app) 

В моей/входа в HTML:

<meta name="csrf-token" content="{{ csrf_token() }}"> 

От Почтальон:

Здесь была альтернатива, которую я пробовал, и, может быть, это будет более успешным? Это в основном тот же ответ, что пример колбовой безопасности приложения дают:

Answer 5

Ну, есть простой способ. Visit. Элементу конфигурации WTF_CSRF_ENABLED может быть установлено значение False, чтобы отключить csrf. Тогда все идет так, как вы пожелаете.