Django REST Framework SessionAuthentication似乎不起作用？

Question

我为AJAX Web应用程序（以及将来的本机客户端）的SessionAuthentication，TokenAuthentication和OAuth2Authentication配置了Django REST API。

OAuth2令牌令牌可以正常工作，但是SessionAuthentication的行为仍无法像我希望的那样工作。

目前，我有两个具有相同配置的REST API：

http://api.sandbox.dev:8080/和http://www.sandbox.dev:8080/api/

我的AJAX网络应用程序位于http://www.sandbox.dev:8080上 。

编码：

• Django设置： https ： //github.com/kristofvbk/sandbox-django/blob/master/sandbox/settings.py
• JavaScript REST客户端： https : //github.com/kristofvbk/sandbox-django/blob/master/sandbox/www/static/js/jquery.rest.js
• AJAX网络应用程序： https : //github.com/kristofvbk/sandbox-django/blob/master/sandbox/www/templates/ajax/session.html

每当我从www.sandbox.dev对api.sandbox.dev上的API进行AJAX调用时，都会收到“ 403 Forbidden”错误。 我认为我做了所有正确的事情以使事情跨域工作，还是我错过了什么？

在此先感谢您的帮助或提示！

亲切的问候，克里斯托夫

Answer 1

如果使用Apache mod_wsgi来提供服务，则可能需要将以下内容添加到VirtualHost配置文件中，因为mod_wsgi会删除授权标头。 您需要将以下内容添加到VirtualHost配置中：

WSGIPassAuthorization On

进一步的参考： http : //django-rest-framework.org/api-guide/authentication.html#unauthorized-and-forbidden-responses

Answer 2

这应该工作：

jquery.rest.js

$.ajax({
    xhrFields: {withCredentials: true},
    ...
});

settings.py：

CORS_ALLOW_CREDENTIALS = True
CORS_ORIGIN_WHITELIST = ('www.sandbox.dev:8080', )

SESSION_COOKIE_DOMAIN = '.sandbox.dev'
CSRF_COOKIE_DOMAIN = '.sandbox.dev'