iOSから自前Django API Serverを叩くときのCSRFトークンについて

Question

DjangoでAPIサーバを作り、SwiftからPOSTで叩こうとしています。が、CSRTトークンをつけていないため
Forbidden (CSRF cookie not set.): と言うエラーが出てきます。

少しググったところ
@csrf_exempt
つければいいよ！と出てきました。CSRFトークンのセキュリティを無効化するものと解釈しております。

そこで2点ほど質問があります

1.そう簡単にcsrf_exemptをつけていいものなのか。（セキュリティ的に問題はないのか)

2.もしまずいのであれば、どうやってCSRFトークンをDjangoサーバから取得するものなのか

よろしくお願いいたします

Answer 1

1)もし、postによってデータを更新するような作りになっていれば、それを無効化することはセキュリティ的に問題があります。読み取りだけなら、普通get使うので、通常は問題があることが多いです。

2)フォームの画面を一旦読み込んでフォームタグ内のcsrfトークンの値を読み込んで、postするデータに追加するといいと思います。