datasette PR #2689：使用 Sec-Fetch-Site 标头保护取代基于令牌的 CSRF

# datasette PR #2689: 使用 Sec-Fetch-Site 标头保护替代基于令牌的 CSRF 来源：https://simonwillison.net/2026/Apr/14/replace-token-based-csrf/ 2026年4月14日 - 链接博客 **datasette PR #2689: 使用 Sec-Fetch-Site 标头保护替代基于令牌的 CSRF**（https://github.com/simonw/datasette/pull/2689）。Datasette 长期以来一直使用 CSRF 令牌来防御 CSRF 攻击，具体实现采用了我开发的 asgi-csrf（https://github.com/simonw/asgi-csrf）Python 库。这些令牌使用起来颇为麻烦——你需要在模板中散布带有 `{{ csrf_token() }}` 的行，然后针对那些供浏览器外部调用的 API 有选择地禁用 CSRF 保护。我一直密切关注 Filippo Valsorda 在此方面的研究，该研究在 2025 年 8 月的这篇详尽文章（https://words.filippo.io/csrf/）中有所描述，并于同月作为 Go 1.25 的一部分（https://tip.golang.org/doc/go1.25#nethttppkgnethttp）发布。我现在已经在 Datasette 中实现了同样的变更。以下是 PR 描述——Claude Code 完成了大部分工作（分布在 10 次提交中，在我密切指导下并由 GPT-5.4 交叉审查），但我决定开始手动编写这些 PR 描述，部分是为了让描述更简洁，同时也作为一种自我约束的练习。 > - 新的 CSRF 保护中间件，灵感来自 Go 1.25 以及 Filippo Valsorda 的这项研究（https://words.filippo.io/csrf/）。它取代了旧的基于 CSRF 令牌的保护机制。 > - 移除了模板中所有 `{{ csrf_token() }}` 的实例——它们不再需要。 > - 移除了在 `datasette/hookspecs.py` 中定义的 `def skip_csrf(datasette, scope):` 插件钩子及其文档和测试。 > - 更新了 CSRF 保护文档（https://docs.datasette.io/en/latest/internals.html#csrf-protection），以描述新方法。 > - 升级指南现在描述了 CSRF 变更（https://docs.datasette.io/en/latest/upgrade_guide.html#csrf-protection-is-now-header-based）。