React SPA+Django dj-rest-auth实现JWT认证与自动登录的CSRF疑问

你现在的自动登录实现逻辑整体是可行的，但有2个可优化的点：

• IsAuthenticated 权限类已经完成了登录态校验，未登录的请求会直接返回401响应，不需要在post方法中重复判断self.request.user.is_authenticated
• 自动登录是查询类操作，建议把POST请求改成GET请求，更符合RESTful语义
  另外需要补充JWT自动刷新逻辑：当access token过期时，要调用dj-rest-auth的刷新接口用refresh token换取新的access token，再完成自动登录校验，避免有效refresh token场景下自动登录失败的问题。

你的担忧是对的，仅靠Cookie携带JWT做认证的场景确实存在CSRF攻击风险：攻击者可以构造恶意页面，诱导已登录用户访问，触发浏览器自动携带JWT Cookie向你的服务端发起请求，完成未授权操作。
你不需要额外引入会话认证就可以解决这个问题，推荐用双Cookie校验方案：

1. 登录成功后，除了httpOnly的JWT Cookie，额外下发一个可被前端JS读取的CSRF Token Cookie（不需要httpOnly属性）
2. React端所有发起的业务请求，都从Cookie中取出CSRF Token，放到自定义请求头（比如X-CSRFToken）中携带
3. 后端新增中间件，校验所有非GET请求的请求头中CSRF Token与Cookie中存储的是否一致
   由于跨站请求中，攻击者无法读取站点Cookie内容，也无法自定义请求头，所以可以完全防御CSRF攻击。

不需要混合使用JWT和会话认证，混合使用只会增加系统复杂度，没有额外收益。
如果你确实要开启会话认证，Django自动下发的CSRF Token Cookie可以直接复用，不需要自己实现上面的双Cookie逻辑：前端每次请求时从Cookie中取出csrftoken的值放到X-CSRFToken请求头中即可，Django的SessionAuthentication会自动完成CSRF校验。

同时存储JWT访问、刷新Cookie和CSRF Cookie不会带来额外安全问题，攻击者无法通过跨站请求篡改服务端数据：
CSRF防护的核心逻辑是校验「请求头中携带的CSRF Token」和「Cookie中存储的CSRF Token」是否一致，攻击者仅能诱导浏览器自动携带所有Cookie发起请求，但无法读取Cookie中的CSRF Token值，也无法在跨站请求中添加对应的X-CSRFToken请求头，服务端校验会直接失败，无法完成未授权操作。
额外建议你做几个安全配置提升系统安全性：

• 所有Cookie都开启Secure属性，仅允许HTTPS传输
• JWT相关Cookie开启httpOnly属性，避免XSS攻击窃取
• 所有Cookie的SameSite属性设置为Lax或Strict，限制跨站请求携带Cookie
• 合理设置Cookie的Domain和Path属性，缩小Cookie的作用范围

内容的提问来源于stack exchange，提问作者Krzysiek Kucharski