公开会话的CSRF保护令牌是否安全？

如果您知道需要CSRF令牌来处理AJAX请求，则可以随时将其嵌入HTML中。那么您可以遍历DOM并通过Javascript找到它。这样，您仍然可以访问令牌，但不会通过API公开令牌。

换句话说，请通过Django的模板进行 *** 作-而不是通过URL分配程序。这样更安全。