flask как сделать запрет?

"GET /example/?_=1577318397252 HTTP/1.1" 200 -

как-то так, имхо

timestamp=request.args.get('_', None)
if timestamp is None:
  abort(401)

Точно, спасибо, не доперло аргументы перехватить.

Можно проверять заголовок HTTP_X_REQUESTED_WITH == ‘XMLHttpRequest’, как это сделано в Django (https://docs.djangoproject.com/en/3.0/ref/request-response/#django.http.HttpRequest.is_ajax)

Вот только новый модный fetch этот заголовок уже не передаёт.

https://github.com/github/fetch/issues/17

Емнип, когда-то были разговоры о том, чтобы удалить из джанги метод is_ajax по этой причине.

Нашел во фласке вот такую штуку:

https://flask.palletsprojects.com/en/0.12.x/api/#flask.Request.is_xhr

Спасибо за информацию, не знал такого (давно не трогал фронтэнд).

Кажется это то же самое, но flask как сделать запрет? (комментарий)

Звучит как дыра. Почитай про CSRF.

Речь про запросы, которые не меняют данные на сервере. При чем тут CSRF. В чем дыра, можно более подробно написать? И обычно на фласке если не передается этот токен, то такой запрос не пропускается, если установлено CSRF_ENABLED = True

Дыра - в попытке ограничить возможность выполнять запрос по какому-то левому признаку. Примерно таким же способом джуны php’шники «защищаются» от CSRF. Если нужно чтобы запрос мог выполняться только с одной страницы - выдай для этой страницы токен. GET/POST/меняет состояние/не меняет - не важно.

Если нужно чтобы запрос мог выполняться только с одной страницы

Или я не понимаю… но, мне нужно было, чтоб запрос выполнялся только через javascript/ajax. Чтоб пользователь не мог через браузер загрузить, зачем ему видеть массив данных. Какие к черту csrf токены здесь.

Раз мы уж тут про безопасность, поинтересуюсь. Как поможет этот токен от подделки данных в post запросе? Т.е. сервер отдал какие то данные, пользователь перехватил и вместе с токеном отправил другие. Как от такого защищаться? Как правильно валидировать данные в таком случае?