DRF에서 동일한 api 임에도 불구하고 CSRF error가 발생하는 이유가 궁금합니다.

Question

class UserAPI(APIView): permission_classes &#61; [permissions.IsAuthenticated] def get(self, request): user &#61; request.user if not user: return Response(status&#61;status.HTTP_400_BAD_REQUEST) serializer &#61; UserSerializer(user, method&#61;'get') return Response(serializer.data, status&#61;status.HTTP_200_OK) &#64;api_view(['POST']) &#64;permission_classes([IsAuthenticated]) def get_user_api(request): user &#61; request.user if not user: return Response(status&#61;status.HTTP_400_BAD_REQUEST) serializer &#61; UserSerializer(user, method&#61;'get') return Response(serializer.data, status&#61;status.HTTP_200_OK) 저는 현재 react 와 DRF를 연동작업 테스트 중에 있습니다.api 호출은 react 측에서 axios를 사용하고 있습니다.기본적으로 django settings에서 csrf 관련해서 설정해야할 사항은 전부 완료했습니다.APIView를 상속받은 api는 연동이 문제없이 되고있지만&#64;api_view를 통해 구현된 api는 403 code (CSRF 오류)가 발생합니다.동일한 조건, 동일한 로직 아래 테스트하고 있는데 APIView를 상속받은 api만 연동이 되는 이유는 뭘까요?

더미 · Answer

@api_view 데코레이터를 사용하는 API에서 CSRF 오류가 발생하는 것은 CSRF 토큰 검증 방식의 차이 때문입니다.APIView와 @api_view의 CSRF 검증 방식 차이APIView (또는 GenericAPIView 상속 클래스): CSRF 토큰 검증을 자동으로 처리합니다. 클라이언트는 요청 헤더에 CSRF 토큰을 포함시켜야 하며, Django는 이 토큰을 자동으로 검증합니다. axios를 사용하는 경우, withCredentials: true 옵션을 설정하여 쿠키를 자동으로 전송해야 합니다.@api_view: CSRF 토큰 검증을 수동으로 처리해야 합니다. csrf_exempt 데코레이터를 사용하여 CSRF 검증을 비활성화하거나, ensure_csrf_cookie 데코레이터를 사용하여 CSRF 토큰을 쿠키에 설정하고, 클라이언트가 이 쿠키를 요청 헤더에 포함시키도록 해야 합니다.해결 방법APIView 사용 권장: 가능하다면 APIView 또는 GenericAPIView를 상속받는 클래스 기반 뷰를 사용하는 것이 좋습니다. 이 방식은 CSRF 토큰 검증을 자동으로 처리하여 보안성을 높이고 코드를 간결하게 유지할 수 있습니다.@api_view에서 CSRF 토큰 검증 처리: @api_view를 반드시 사용해야 하는 경우, 다음과 같이 CSRF 토큰 검증을 처리해야 합니다.Pythonfrom django.views.decorators.csrf import ensure_csrf_cookie from django.views.decorators.csrf import csrf_exempt @api_view(['POST']) @ensure_csrf_cookie def my_api_view(request): ... # 또는 CSRF 검증을 비활성화하는 경우 (보안에 유의) @api_view(['POST']) @csrf_exempt def my_api_view(request): ... axios 설정 확인: axios를 사용하여 요청을 보내는 경우, 다음과 같이 설정해야 합니다.JavaScriptaxios.post('/api/endpoint/', data, { withCredentials: true // 쿠키를 자동으로 전송 }); 추가 고려 사항CSRF 토큰 설정: Django settings에서 CSRF_COOKIE_SECURE 및 CSRF_COOKIE_HTTPONLY 옵션을 적절하게 설정하여 CSRF 토큰의 보안을 강화해야 합니다.CORS 설정: 다른 도메인에서 API를 호출하는 경우, CORS 설정을 확인하고 필요한 경우 허용해야 합니다.참고 자료Django CSRF 문서: https://docs.djangoproject.com/en/4.2/ref/csrf/Axios 문서: https://axios-http.com/docs/intro주의 사항csrf_exempt 데코레이터를 사용하여 CSRF 검증을 비활성화하는 것은 보안에 취약점을 ایجاد할 수 있으므로 신중하게 사용해야 합니다.실제 서비스 환경에서는 HTTPS를 사용하여 통신하는 것이 좋습니다.이 답변이 문제 해결에 도움이 되기를 바랍니다. 궁금한 점이나 추가적인 문제가 발생하면 언제든지 질문해주세요.

DRF에서 동일한 api 임에도 불구하고 CSRF error가 발생하는 이유가 궁금합니다.

1개의 답변

Q&A 목록