¿Todavía es necesaria la etiqueta de protección {% csrf_token%} CSRF en Django 1.2?

Question

Estoy probando la protección CSRF en mi sitio y he notado algo inesperado.

He eliminado {% csrf_token %} de mi formulario y la presentación todavía funciona. No pude entender por qué. Luego miré la fuente y me di cuenta de que el token todavía estaba allí junto al elemento <form>. Cambié la identificación del formulario para asegurarme de que definitivamente estaba actualizando la fuente y lo estaba, pero la entrada oculta aún está allí.

Estoy usando Django 1.2. ¿Todavía es necesario {% csrf_token %}?

Saludos

ricos

Answer 1

De la documentación:

En Django 1.1, la etiqueta de plantilla que no existía. En su lugar, se utilizó un middleware posterior al procesamiento que volvió a escribir los formularios POST para incluir el token CSRF. Si está actualizando un sitio de la versión 1.1 o anterior, lea esta sección y el Upgrading notes a continuación.

http://docs.djangoproject.com/en/dev/ref/contrib/csrf/#legacy-method

Answer 2

Después de más investigación se desprende la {% csrf_token %} se inserta siempre si el formulario tiene post método y no si no lo hace. Protección auto muy inteligente de Django.