在 django 中为 API 访问禁用 CSRF 保护的安全性
Safety of disabling CSRF protection for API acces in django
（抱歉，如果这一切听起来微不足道，我是网络编程和 Django 的初学者）
我正在使用 Django 为科学测量数据库编写 Web 前端。
所需功能的一部分是使用户能够从网页向数据库提交新测量值。在 django 对 web 表单的出色支持的帮助下，我拥有了这项功能。数据通过受 CSRF 令牌保护的 POST 请求发送。
我现在正在开发相同的功能，但不是通过 Web 表单，而是通过 API 访问，这样用户就可以通过 Python 脚本批量提交新测量值，而无需每次手动填写网络表格。
这个问题是，因为没有表格要填写，所以也没有 CSRF 令牌，默认情况下 django 不允许发送 POST 没有它的请求。
目前，我已经通过使用 @csrf_exempt 装饰 API 视图解决了这个问题。但我并不真正理解这样做的安全隐患。
这会不会有安全风险？如果可以，怎么做？
这无疑是一种安全风险，因为任何 site/script/bot 都可以发送 POST 将由您的后端处理的数据。
如果您希望提供 public/anonymous API，那么它可能没问题，您只需要格外小心处理接收到的数据。
如果您希望提供 users/specific 应用程序访问权限，那么您应该保留 CSRF 令牌 and/or 添加一些其他安全措施。
使用 CSRF 令牌，您需要做的就是让系统的第一个请求成为 "GET" 对用户进行身份验证的请求（以您想要的任何方式），然后 return CSRF 令牌（或其他一些安全令牌，如果您想增强安全性）。
然后向您的 API 发出所有进一步的请求（无论您设置的 session 长度是多少，因为 CSRF 令牌将在特定的未使用时间范围内过期）。只需发送带有 POST 数据的 CSRF 令牌（就像任何表单一样）。
编辑：
如果您使用的是标准 HTML，所有获取请求都会有一个包含 CSRFTOKEN 的 Header "Set-Cookie"。因此，任何通过 HTTP 访问您的 API 的程序都可以获取 header，从中解析出 CSRFTOKEN，并在所有 POST 请求中 return 作为数据集的一部分。
（抱歉，如果这一切听起来微不足道，我是网络编程和 Django 的初学者）
我正在使用 Django 为科学测量数据库编写 Web 前端。
所需功能的一部分是使用户能够从网页向数据库提交新测量值。在 django 对 web 表单的出色支持的帮助下，我拥有了这项功能。数据通过受 CSRF 令牌保护的 POST 请求发送。
我现在正在开发相同的功能，但不是通过 Web 表单，而是通过 API 访问，这样用户就可以通过 Python 脚本批量提交新测量值，而无需每次手动填写网络表格。
这个问题是，因为没有表格要填写，所以也没有 CSRF 令牌，默认情况下 django 不允许发送 POST 没有它的请求。
目前，我已经通过使用 @csrf_exempt 装饰 API 视图解决了这个问题。但我并不真正理解这样做的安全隐患。
这会不会有安全风险？如果可以，怎么做？
这无疑是一种安全风险，因为任何 site/script/bot 都可以发送 POST 将由您的后端处理的数据。
如果您希望提供 public/anonymous API，那么它可能没问题，您只需要格外小心处理接收到的数据。
如果您希望提供 users/specific 应用程序访问权限，那么您应该保留 CSRF 令牌 and/or 添加一些其他安全措施。
使用 CSRF 令牌，您需要做的就是让系统的第一个请求成为 "GET" 对用户进行身份验证的请求（以您想要的任何方式），然后 return CSRF 令牌（或其他一些安全令牌，如果您想增强安全性）。
然后向您的 API 发出所有进一步的请求（无论您设置的 session 长度是多少，因为 CSRF 令牌将在特定的未使用时间范围内过期）。只需发送带有 POST 数据的 CSRF 令牌（就像任何表单一样）。
编辑：
如果您使用的是标准 HTML，所有获取请求都会有一个包含 CSRFTOKEN 的 Header "Set-Cookie"。因此，任何通过 HTTP 访问您的 API 的程序都可以获取 header，从中解析出 CSRFTOKEN，并在所有 POST 请求中 return 作为数据集的一部分。