[Django] allauth sign-out 확인페이지 제거

ㅇ

all-auth 를 이용해 기본설정을 마치고 단순히 로그아웃 버튼을 생성해

로그아웃 주소를 요청하면 sign-out 페이지에서 로그아웃 확인을 요구한다.

원인

all-auth 에서 GET방식의 로그아웃 요청을 막아두었기 때문이다.

그 이유는 기본으로 GET은 서버의 상태를 수정하는 요청이 아니고

GET 방식의 로그아웃을 요청을 허용 하였을 때 악용될 가능성이 있기 때문이다.

이는 장고 이슈에도 등록되어 있다.

악용 예시로 사용자가 게시물을 작성할 때 을 삽입한 경우

브라우저의 링크프리페치기능에 의해서 해당 게시물에 들어갈 경우 사용자가 강제 로그아웃된다.

해결 방법

1. settings.py에 LOGOUT_GET 요청 허용 추가

ACCOUNT_LOGOUT_ON_GET = True

위 방법은 간단하기는 하나 최선의 방법은 아니다.

2. LOGUT 요청을 POST로 보내기

{% csrf_token %} {% if redirect_field_value %} {% endif %} Logout

from http://sangham2.tistory.com/8 by ccl(S) rewrite - 2020-03-06 06:54:22

django