Djangoで外部からのPOSTを受け取る時の安全策

Question

wordpressで作っているサイトから、DjangoのサイトにデータをPOSTしたいです。

普通にするとDjangoのcsrf_tokenがないので弾かれますが、POSTを受けるview関数に´@csrf_exempt´デコレータを付けると大丈夫だと分かりました。

ですがそれですと当然csrf攻撃に脆弱になってしまうということですよね？

なので、セキュリティを考慮しつつ、外部からのPOSTを受け取りたいのですが、何かいい方法はありますでしょうか？

宜しくお願い致します。

Answer 1

Django REST frameworkというのがあります。
このREST APIを実装できるパッケージを利用してみるのはどうでしょう。

もっと簡単にということであれば、WordpressのサーバーのIPからのPOSTであれば許可して、その他のIPからは不許可とすれば、簡易的ですが、最低限の担保にはなるかもしれません。（共有ホスティングサーバーなど利用の場合はあまりよくないかもしれません。）
ただし、この方法でやる場合はWordpressで動いているサーバー上から通信が発生してくれなければならないので、Javascriptなどクライント側から直接POSTさせる場合には使えません。

Comments

[kurosuke___]

回答ありがとうございます。
Django REST frameworkは難しそうですがよさげなので勉強してみたいと思います！
ありがとうございました！