Je ne connais pas vraiment Django.
Mais sur Laravel on peu ajouter un jeton csrf sur toutes les routes en post par exemple, en une seule ligne dans le fichier de routing.

Ça doit sûrement exister sur Django.

@geekingfrog : seul l’id de session est stocké dans le cookie (enfin en PHP :p), les informations de la session comprenant le token sont elles stockées sur le serveur. Le but est de mixer le Synchronizer Token Pattern et le Double Submit Pattern pour renforcer encore plus la sécurité (voir mon lien précédent).

En bref: les attaques csrf utilisent les cookies pour bypass l’authentication, donc il faut autre chose (un header typiquement).

@Jedi une troisième vérification sur la session??? Si la session est stockée dans un cookie, ça ne sert à rien non plus. Je suis pas sûr de comprendre là.

@Paul: en fait, ce que JEDI veut dire, c’est que le token doit être présent à la fois dans le cookie ET dans un autre medium pour que le CSRF soit pris en compte. Le cookie ne suffit pas. Si on utilise un formulaire, on envoit le cookie automatiquement, mais il faut aussi le mettre dans un champ input caché. Si on envoie une requête Ajax, on envoit le cookie, mais il faut aussi le foutre dans le header.