Check Origin header before accept/edit/delete

Siehe Issue #107 und commit-Nachricht. Sollten der Check noch an anderen Stellen eingefuegt werden? Hat jemand Ahnung von diesem Web und kann sagen ob das so gut ist? Wollen wir Requests ohne Origin-Header einfach ablehnen statt erstmal nur zu warnen?

util/web.py

@@ -6,8 +6,9 @@ from jinja2.exceptions import TemplateNotFound
 
 from werkzeug import Local, LocalManager, Response
 from werkzeug.routing import Map, Rule
-from werkzeug.exceptions import BadRequest
+from werkzeug.exceptions import BadRequest, Forbidden
 
+import sys
 import os
 import netaddr
 
@@ -117,6 +118,14 @@ def remote_is_internal_network(request):
     return False
 
 
+def same_origin_only(request):
+    try:
+        if request.headers['Origin'] != config.weburl:
+            raise Forbidden(description="Same-Origin check failed")
+    except KeyError:
+        sys.stderr.write("WARNING: No Origin header in request for protected endpoint!\n");
+
+
 available_themes = set([it[1] for it in config.themes_by_url])
 available_themes.add(config.default_theme)
 jinja_env = Environment(loader=ThemeSupportTemplateLoader(available_themes), cache_size=0)