csrfトークンをストライプに渡す

Question

ストライプの支払いにstripe.jsを使用しています。ストライプからリクエストを受け取るためにコールバックwenhookをセットアップする必要があります。

webhookはストライプで投稿されているので、私はcsrf_excemptとマークしています。

1. このビューを作成する際にリスクがありますか。csrf_excempt？
2. このビューでcsrf保護が必要な場合、どのようにしてcsrfトークンをストライプから渡して戻すことができますか？

Answer 1

これはうまくいかないでしょう。間違いなく、Stripeからのコールバックに対してcsrfを無効にしてください。

• が

トークンは無関係だろう

は、コールバックURLに戻って、同じトークンを投稿するストライプを取得する方法を発見したストライプ化するcsrf_tokenを通過したとしても..あなた場合

トークンは現在のブラウザセッションのみ（通常はCookie）のものです。

CSRFトークンは、リクエストごとに生成され、ブラウザに送信されてクッキーに格納されます。 StripeはこのCookieを持たないので、まったく同じCSRFエラーが発生します。

Answer 2

将来的にはdjango-stripe-paymentsを使用することも考えられます。

Answer 3

答えによれば、ストリーミングコールバックでCSRFトークンを使用する方法はありません。

Stripe Webhook Documentationのセキュリティの推奨アプローチは、受信したウェブフックのIDを使用して、完全なイベントの詳細についてストライプに要求を送信することです。