Django-rest-framework: डीआरएफ को डिफ़ॉल्ट रूप से सभी विकल्प अनुरोधों को अधिकृत करना चाहिए

को निर्मित 21 नव॰ 2017 · 22टिप्पणियाँ · स्रोत: encode/django-rest-framework

#908 . पर चर्चा के बाद

OPTIONS (मेटाडेटा) अनुरोधों की अनुमतियों को DRF में गलत तरीके से हैंडल किया जाता है।

W3C स्पेक्स के अनुसार, सभी प्रीफ्लाइट OPTIONS अनुरोध प्रमाणित नहीं हैं, जिसका अर्थ है कि प्रमाणित समापन बिंदुओं के लिए अनुरोध करते समय उपयोगकर्ताओं को हमेशा 401 त्रुटि मिलेगी, क्योंकि आधुनिक ब्राउज़र इसे चश्मे के अनुसार कभी नहीं भेजते हैं:

अन्यथा, उड़ान से पहले अनुरोध करें। मैन्युअल रीडायरेक्ट फ़्लैग और ब्लॉक कुकी फ़्लैग सेट के साथ, OPTIONS विधि का उपयोग करके और निम्नलिखित अतिरिक्त बाधाओं के साथ, रेफ़रलकर्ता स्रोत को ओवरराइड रेफ़रलकर्ता स्रोत के रूप में उपयोग करके मूल स्रोत मूल से अनुरोध URL प्राप्त करें:
एक एक्सेस-कंट्रोल-अनुरोध-विधि शीर्षलेख शामिल करें जिसमें शीर्षलेख फ़ील्ड मान अनुरोध विधि है (भले ही वह एक साधारण विधि हो)।
यदि लेखक अनुरोध शीर्षलेख खाली नहीं है, तो हेडर फ़ील्ड मान के साथ एक एक्सेस-कंट्रोल-अनुरोध-शीर्षलेख शीर्षलेख शामिल करें, कोमा-सेपरेटेड सूची में लेखक अनुरोध शीर्षलेखों से हेडर फ़ील्ड नामों की सूची, प्रत्येक ASCII लोअरकेस में परिवर्तित हो जाती है (यहां तक कि जब एक या अधिक एक साधारण शीर्षलेख हैं)।
लेखक अनुरोध शीर्षलेख बहिष्कृत करें।
➡️ उपयोगकर्ता क्रेडेंशियल्स को बाहर करें ।
अनुरोध निकाय निकाय को बाहर करें।

मुझे लगता है कि यह यहाँ डिफ़ॉल्ट व्यवहार होना चाहिए।
DRF को मानक अनुमति वर्गों (IsAuthenticated, IsAdminUser, आदि) के लिए डिफ़ॉल्ट रूप से सभी OPTIONS अनुरोधों को अधिकृत करना चाहिए और उपयोगकर्ता इसे तब ओवरराइड कर सकते हैं जब उन्हें स्पष्ट रूप से मेटाडेटा जानकारी की रक्षा करने की आवश्यकता होती है (मानक CORS संगतता का उल्लंघन)

प्रजनन के चरण :

view.py

class MyView(APIView):

    permission_classes = (IsAuthenticated,)

urls.py

urlpatterns = [
    url(r'^myview/', MyView.as_view()),
]

सांत्वना देना

http GET http://127.0.0.1:8000/myview/
HTTP/1.0 401 Unauthorized

http OPTIONS http://127.0.0.1:8000/myview/
HTTP/1.0 401 Unauthorized

अपेक्षित व्यवहार

http GET http://127.0.0.1:8000/myview/
HTTP/1.0 401 Unauthorized

http OPTIONS http://127.0.0.1:8000/myview/
HTTP/1.0 200 OK

अस्थायी वर्कअराउंड

class IsAuthenticated(permissions.IsAuthenticated):

    def has_permission(self, request, view):
        if request.method == 'OPTIONS':
            return True
        return super(IsAuthenticated, self).has_permission(request, view)

स्रोत

antwan

👍28 ❤3 🚀1

सबसे उपयोगी टिप्पणी

डीआरएफ संस्करण: 3.7.3
पायथन 3.6.3

ऊपर उल्लिखित अस्थायी समाधान मेरे काम नहीं आया। सभी अनुरोधों को प्रमाणित किया जा रहा था, भले ही वे पुट, पोस्ट, प्राप्त, विकल्प आदि हों।

इसने इसे बदलने पर काम किया:

# myapp/permissions.py
from rest_framework.permissions import IsAuthenticated

class AllowOptionsAuthentication(IsAuthenticated):
    def has_permission(self, request, view):
        if request.method == 'OPTIONS':
            return True
        return request.user and request.user.is_authenticated

और settings.py में:

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': ( 'rest_framework.authentication.TokenAuthentication',),
    'DEFAULT_PERMISSION_CLASSES': (
        'myapp.permissions.AllowOptionsAuthentication',
    )
}

medakk 23 नव॰ 2017

👍6 ❤3

सभी 22 टिप्पणियाँ

डीआरएफ संस्करण: 3.7.3
पायथन 3.6.3

इसने इसे बदलने पर काम किया:

# myapp/permissions.py
from rest_framework.permissions import IsAuthenticated

class AllowOptionsAuthentication(IsAuthenticated):
    def has_permission(self, request, view):
        if request.method == 'OPTIONS':
            return True
        return request.user and request.user.is_authenticated

और settings.py में:

REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': ( 'rest_framework.authentication.TokenAuthentication',),
    'DEFAULT_PERMISSION_CLASSES': (
        'myapp.permissions.AllowOptionsAuthentication',
    )
}

medakk 23 नव॰ 2017

👍6 ❤3

मैंने भी इसी समस्या में भाग लिया है। मैं प्रस्तावित समाधान से सहमत हूं और अस्थायी समाधान के लिए धन्यवाद!

skorov 24 नव॰ 2017

100% आश्वस्त नहीं हैं कि "डिफ़ॉल्ट रूप से सभी विकल्प अनुरोधों को अधिकृत करना चाहिए" ठीक वैसा ही व्यवहार है OPTIONS अनुरोधों का उपयोग करते हैं।

हालाँकि मुझे लगता है कि हम शायद एक धन्य CORS विकल्प चाहते हैं। मुझे नहीं पता कि इसका मतलब है कि हमें सीधे https://github.com/ottoyiu/django-cors-headers/ शामिल करना चाहिए, या यदि हमें इसे और अधिक संदर्भित करना चाहिए।

क्या उस पैकेज का उपयोग करने के बाद यह समस्या हल हो जाती है?

tomchristie 27 नव॰ 2017

यह पैकेज वास्तव में सॉलटन नहीं है, यह सिर्फ सीओआरएस हेडर जोड़ता है लेकिन इस तथ्य को ठीक नहीं करता है कि विकल्प HTTP401 लौटाता है यदि डीआरएफ अनुमति विशेष रूप से सभी गैर-प्रमाणीकृत अनुरोधों के लिए नहीं दी जाती है।

आईएमओ इसे दूसरी तरफ पेश किया जाना चाहिए, यानी ब्रेकिंग चेंज नोटिस के साथ डिफ़ॉल्ट रूप से अनुमति दी जानी चाहिए।
W3C स्पेक्स के अनुसार यह अपेक्षित व्यवहार है, और गलत कार्यान्वयन को ठीक करने के लिए दस्तावेज़ में किसी तृतीय पक्ष का उल्लेख करना वास्तव में एक स्वच्छ समाधान नहीं है ...

इसलिए यद्यपि गैर-कोर से संबंधित चीजों के लिए विकल्प का उपयोग करने वाले लोग हैं (मैं उनमें से एक हूं), संभावित रूप से बॉक्स से बाहर काम करने वाली चीजों की बहुत अधिक उम्मीद है, क्योंकि सीओआरएस तंत्र अधिक से अधिक ब्राउज़रों द्वारा लागू किया जा रहा है। वास्तव में ये तंत्र संभावित रूप से वेब पर 99%+ विकल्प अनुरोध उत्पन्न करते हैं।

antwan 27 नव॰ 2017

👍2

दिलचस्प संघर्ष। मैं विकल्प विधि पर डिफ़ॉल्ट रूप से एक अंतर्निहित अनुमति के साथ समस्या को समझता हूं। मैं स्वाभाविक रूप से अधिक सुरक्षित समाधान की ओर अधिक पक्षपाती हूं और मुझे लगता है कि यह डीआरएफ के लिए देव के उद्देश्य पर निर्भर करता है। तो एक डिफ़ॉल्ट इनकार मेरे लिए अधिक उपयुक्त लगता है।

यह भी संभव है कि विकल्प की अनुमति देने के लिए W3C युक्ति केवल CORS के संदर्भ में ही लागू हो। जाहिर है, डीआरएफ के पास संदर्भ जानने का कोई तरीका नहीं है और इसे देव को प्रदान की जाने वाली सेटिंग होनी चाहिए।

यदि CORS का इरादा है, तो सभी विकल्प अनुरोधों को अनुमति दें। CORS डिफ़ॉल्ट रूप से अनपेक्षित है।

skorov 27 नव॰ 2017

असल में मुझे लगता है कि हम एक प्रमुख संस्करण के लिए एक ब्रेकिंग बदलाव पर विचार कर सकते हैं, जिसमें वर्तमान व्यवहार उपलब्ध है। हमारा मौजूदा विकल्प व्यवहार तब से लागू है जब JSONP वह था जो लोग CORS के बजाय उपयोग करेंगे, इसलिए हम शायद एक रिफ्रेश के कारण हैं जो हमारे द्वारा उजागर की जाने वाली डिफ़ॉल्ट जानकारी के काफी तदर्थ सेट को हटा देता है और इसके बजाय केवल डिफ़ॉल्ट रूप से CORS के लिए विकल्प पर ध्यान केंद्रित करता है। .

tomchristie 28 नव॰ 2017

👍3

superandrew 28 मई 2018

@tomchristie क्या आपके पास कोई विचार है कि एक प्रमुख संस्करण अपडेट/फिक्स कब होगा? मैं भी इस मुद्दे को उठा रहा हूं।

noahl 29 मई 2018

@medakk का समाधान एकदम सही है, इस बीच!

superandrew 29 मई 2018

यह सुनिश्चित करने के लिए मील का पत्थर 3.9 . के लिए उचित विचार प्राप्त करता है

tomchristie 8 सित॰ 2018

👍3 🎉1

एक वैकल्पिक समाधान इसे स्पष्ट रूप से दृश्य में संभालना है। ऐसे मामले में जहां आपके पास एकाधिक अनुमति_वर्ग हैं, यह अधिक शुष्क है, क्योंकि उनमें से प्रत्येक को इस हैंडलिंग की आवश्यकता होगी।

def check_permissions(self, request):
        if request.method == 'OPTIONS':
            return
        super(MyApiView, self).check_permissions(request)

AgDude 11 अक्तू॰ 2018

इस पर वापस आकर इस पर और गौर किया - https://github.com/OttoYiu/django-cors-headers पैकेज मिडलवेयर में पूर्व-उड़ान किए OPTIONS अनुरोधों को संभालता है, और सीधे एक प्रतिक्रिया देता है। इससे कोई फर्क नहीं पड़ता कि आरईएसटी ढांचा यहां क्या करता है क्योंकि आरईएसटी ढांचे को हिट करने से पहले अनुरोध/प्रतिक्रिया को अवरुद्ध कर दिया जाता है।

मेरे लिए यह स्पष्ट नहीं है कि हमारे यहां कोई समस्या है।

tomchristie 11 अक्तू॰ 2018

🎉1 👍1

प्रीफ्लाइट प्रतिक्रियाएं आरईएसटी ढांचे को नहीं छूती हैं: https://github.com/ottoyiu/django-cors-headers/blob/master/corsheaders/middleware.py#L83

tomchristie 11 अक्तू॰ 2018

धन्यवाद। हम django-cors-headers का उपयोग नहीं कर रहे हैं, लेकिन शायद हमें होना चाहिए।
मैं अभी भी पहले की टिप्पणियों से सहमत हूं कि W3C अनुरूप CORS अनुरोधों को संभालने के लिए DRF को बाहरी पैकेज की आवश्यकता नहीं होनी चाहिए।

AgDude 11 अक्तू॰ 2018

हां इस मुद्दे को रोकने के लिए रास्ते/तृतीय पक्ष पैकेजों का समूह है।
लेकिन फिर से, यह टिकट इसलिए बनाया गया है क्योंकि DRF W3C CORS विनिर्देशों के साथ असंगत है, और इसे ठीक किया जाना चाहिए।

आजकल, समापन बिंदुओं के लिए किए गए OPTIONS अनुरोधों का विशाल बहुमत पूर्व-उड़ान उद्देश्यों के लिए है, और संभवतः नए DRF उपयोगकर्ताओं के लिए DRF की राय वाले विकल्पों के कारण इन मुद्दों को मैन्युअल रूप से संभालना भ्रामक है।

antwan 15 अक्तू॰ 2018

👍2

आजकल, समापन बिंदुओं के लिए किए गए OPTIONS अनुरोधों का विशाल बहुमत पूर्व-उड़ान उद्देश्यों के लिए है, और संभवतः नए DRF उपयोगकर्ताओं के लिए DRF की राय वाले विकल्पों के कारण इन मुद्दों को मैन्युअल रूप से संभालना भ्रामक है।

सिर्फ इसलिए कि CORS ने OPTIONS विधि को अपहृत कर लिया है इसका मतलब यह नहीं है कि इसकी सुरक्षा को समायोजित करने के लिए डिफ़ॉल्ट रूप से बदल दिया जाना चाहिए। विशेष रूप से अगर CORS समर्थन को ठीक से लागू किया जाता है, तो यह उस तरह से काम करेगा जिस तरह से इसकी आवश्यकता है। क्षमा करें, लेकिन मुझे लगता है कि डेवलपर्स जो इसे बदलना चाहते हैं, उन्हें अपनी राय जांचने की जरूरत है, न कि डीआरएफ अनुरक्षकों की।

शायद प्रलेखन वृद्धि यह सुझाव देने के लिए कि यदि सीओआरएस की आवश्यकता है, तो उचित कार्यान्वयन में सहायता के लिए एक मॉड्यूल का उपयोग पहिया को फिर से आविष्कार करने के बजाय किया जाना चाहिए।

clarson 15 अक्तू॰ 2018

आइए स्तर को नीचे लाएं।

Middleware CORS हेडर से निपटने के लिए समझदार है। हम इसे आरईएसटी ढांचे में बना सकते हैं , लेकिन मौजूदा पैकेज में पहले से ही इसे वास्तव में अच्छी तरह से कवर किया गया है।

जिस निकाय को REST फ्रेमवर्क OPTIONS अनुरोधों के लिए वापस करने के लिए होता है, वह यहाँ अप्रासंगिक है, क्योंकि प्रीफ़्लाइटेड CORS अनुरोधों को वैसे भी मिडलवेयर द्वारा इंटरसेप्ट किया जाना चाहिए, और मानक CORS अनुरोध किसी भी HTTP विधि के हो सकते हैं।

मैं डिफ़ॉल्ट रूप से उन प्रतिक्रिया निकायों की सेवा नहीं करने के लिए आगे बढ़ने के लिए आरईएसटी ढांचे के लिए पूरी तरह से खुश हूं, लेकिन यह सीओआरएस समर्थन के मुद्दे से थोड़ा अलग है, और यह इतना नहीं है कि आरईएसटी ढांचे ने वहां व्यवहार किया है, बल्कि इसके पास है व्यवहार जो कि CORS के व्यापक रूप से लागू होने से पहले का है।

tomchristie 15 अक्तू॰ 2018

मुझे ऐसा लगता है कि अकेले मिडलवेयर समाधान अपर्याप्त है या कम से कम डीआरएफ से कुछ सहयोग की आवश्यकता है। यदि आप संदर्भित कोड को देखते हैं, तो आप देख सकते हैं कि वैश्विक डिफ़ॉल्ट का उपयोग CORS हेडर की आपूर्ति के लिए किया जा रहा है। लेकिन मैं विश्व स्तर पर कैसे जान सकता हूं कि प्रत्येक दृश्य किस शीर्षलेख का समर्थन करता है?

इस प्रकार, मैं मिडलवेयर के लिए व्यूसेट/दृश्यों से इन कॉन्फ़िगरेशन विकल्पों में शामिल होने के लिए एक मानक तरीका देखना चाहता हूं: उदाहरण के लिए allowed_cors_headers विधि।

मैं मानता हूं कि इसे विचारों द्वारा नियंत्रित करने की आवश्यकता नहीं है, लेकिन यह पूरी तरह से इस दृष्टिकोण के ज्ञान का सम्मान करने की आवश्यकता है कि यह क्या सेवा कर सकता है।

राउटर में सभी दृश्यों पर लागू करने के लिए राउटर-स्तरीय ओवरराइड होना भी फायदेमंद हो सकता है।

अतिरिक्त मुद्दो पर विचार करना:

उत्पत्ति के आधार पर भिन्न
सामग्री-प्रकार के आधार पर भिन्न

DylanYoung 18 फ़र॰ 2019

यह मेरी पसंदीदा पसंद नहीं है, लेकिन रुझान एक तृतीय-पक्ष का उपयोग करने की ओर जा रहा है।

मुझे लगता है कि कॉर्स उपयोगकर्ताओं के लिए उचित सूचनाओं के साथ दस्तावेज़ अपडेट होने के बाद हम इस टिकट को बंद कर सकते हैं (जैसे: "सावधान रहें, डीआरएफ विकल्प अनुरोधों पर डब्ल्यू3सी कॉर्स स्पेक्स को पूरा नहीं करता है। यदि आप कॉर्स के लिए विकल्प का उपयोग करते हैं तो एक जोड़ना न भूलें उचित मिडलवेयर अन्यथा प्राधिकरण की कमी के कारण आपके पूर्व-उड़ान अनुरोध विफल हो सकते हैं" आदि)

antwan 19 फ़र॰ 2019

मौजूदा दस्तावेज https://www.django-rest-framework.org/topics/ajax-csrf-cors/#cors पूरी तरह से उचित है, और मिडलवेयर में CORS से निपटना किसी भी मामले में सही तरीका है।

लेकिन मैं विश्व स्तर पर कैसे जान सकता हूं कि प्रत्येक दृश्य किस शीर्षलेख का समर्थन करता है?

आपको इसकी आवश्यकता नहीं है - आपको यह जानना होगा कि साइट की CORS नीति क्या है।

tomchristie 19 फ़र॰ 2019

सीओआरएस दस्तावेज़ों को और अधिक प्रमुख बनाने, या उन्हें कहीं और शामिल करने के लिए एक पुल अनुरोध स्वीकार करने में प्रसन्नता हो रही है। इसके अलावा यहां कोई कार्रवाई योग्य मुद्दा नहीं है।

tomchristie 19 फ़र॰ 2019

कल्पना की मेरी गलतफहमी, उफ़।

उस स्थिति में, django साइट्स योगदान में समर्थन को बेहतर ढंग से शामिल किया जाएगा
पैकेज, डीआरएफ नहीं।

ले मार। 19 फरवरी। 2019 10:22 पूर्वाह्न, टॉम क्रिस्टी नोटिफिकेशन @github.com a
इक्रिट:

मौजूदा दस्तावेज
https://www.django-rest-framework.org/topics/ajax-csrf-cors/#cors है
पूरी तरह से उचित है, और मिडलवेयर में CORS से निपटना सही है
किसी भी मामले में दृष्टिकोण।
लेकिन मैं विश्व स्तर पर कैसे जान सकता हूं कि प्रत्येक दृश्य किस शीर्षलेख का समर्थन करता है?
आपको इसकी आवश्यकता नहीं है - आपको यह जानना होगा कि साइट की CORS नीति क्या है।
-
आप इसे प्राप्त कर रहे हैं क्योंकि आपने टिप्पणी की थी।
इस ईमेल का सीधे उत्तर दें, इसे GitHub पर देखें
https://github.com/encode/django-rest-framework/issues/5616#issuecomment-465146969 ,
या थ्रेड को म्यूट करें
https://github.com/notifications/unsubscribe-auth/AFhtlM6bG-Bs2CvoO972pIfwvxLHbzAxks5vPAjAgaJpZM4Qlvkn
.

DylanYoung 19 फ़र॰ 2019

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Django-rest-framework: डीआरएफ को डिफ़ॉल्ट रूप से सभी विकल्प अनुरोधों को अधिकृत करना चाहिए

प्रजनन के चरण :

अस्थायी वर्कअराउंड

सबसे उपयोगी टिप्पणी

सभी 22 टिप्पणियाँ

संबंधित मुद्दों