如何实现仅允许从/home视图访问home/data路由？

1. 会话令牌验证 #

当用户访问/home时，在会话中生成一个随机令牌并存储，同时将令牌传递给前端页面。前端请求/home/data时携带该令牌，后端验证令牌与会话中的值是否一致：

• 后端/home视图示例（以Pyramid框架为例）：

  import secrets
  
  def home_view(request):
      # 生成随机令牌并存入会话
      access_token = secrets.token_hex(16)
      request.session['home_access_token'] = access_token
      # 将令牌传递给前端模板
      return {'access_token': access_token}
  

• 前端请求代码：

  // 从页面模板中获取令牌
  const accessToken = "{{ access_token }}";
  fetch(`/home/data?token=${accessToken}`)
    .then(res => res.json())
    .then(data => { /* 处理数据逻辑 */ });
  

• 后端/home/data视图验证：

  def home_data_view(request):
      session_token = request.session.get('home_access_token')
      request_token = request.GET.get('token')
      
      if session_token and session_token == request_token:
          # 验证通过，返回数据
          return {'data': '目标数据内容'}
      # 验证失败返回403
      return request.response_factory(status=403)
  

这种方式依赖安全的会话机制（需确保HTTPS传输、会话Cookie设置HttpOnly和Secure属性），伪造难度远高于Referer。

2. 复用CSRF令牌 #

如果你的框架已集成CSRF保护，可直接利用CSRF令牌验证请求合法性：

• 前端在/home页面渲染时，将CSRF令牌嵌入元标签：

  <meta name="csrf-token" content="{{ csrf_token }}">
  

• 前端请求时携带令牌：

  const csrfToken = document.querySelector('meta[name="csrf-token"]').content;
  fetch('/home/data', {
    headers: {
      'X-CSRFToken': csrfToken
    }
  })
  .then(res => res.json())
  .then(data => { /* 处理数据逻辑 */ });
  

• 后端/home/data视图验证：

  def home_data_view(request):
      if not request.check_csrf_token():
          return request.response_factory(status=403)
      # 返回目标数据
      return {'data': '目标数据内容'}
  

CSRF令牌本身就是为防止跨站请求伪造设计的，适配你的场景且无需额外开发基础验证逻辑。

3. 辅助：限制请求方法 #

如果/home/data仅用于读取数据，将路由请求方法限制为GET，进一步降低风险：

config.add_route("home/data", "/home/data", request_method="GET")

注意：绝对不要依赖request.referer做权限验证，该字段完全由客户端控制，可轻松篡改，无安全性可言。

内容的提问来源于stack exchange，提问作者Thong Nguyen