Rails 4真品令牌

Question

当我碰到一些真实性令牌问题时，我正在开发新的Rails 4应用程序（在Ruby 2.0.0-p0上）。

在写一个控制器，响应JSON（使用respond_to类的方法），我到了create行动我开始ActionController::InvalidAuthenticityToken例外，当我试图创建一个使用curl纪录。

我确定我设置了-H "Content-Type: application/json"，并将数据设置为-d "<my data here>"，但仍然没有运气。

我尝试使用Rails 3.2编写相同的控制器（在Ruby 1.9.3上），并且我没有任何真实性令牌问题。我搜索了四周，我发现Rails 4中的真实性令牌发生了一些变化。根据我的理解，它们不再自动插入到表单中了？我想这会以某种方式影响非HTML内容类型。

有什么办法可以解决这个问题，而不必申请一个HTML表单，抢走真实性标记，然后用该标记发出另一个请求？还是我完全错过了一些完全明显的东西？

编辑：我只是想用一个支架不改变任何东西在一个新的Rails创造了新的记录4应用程序，我遇到了同样的问题，所以我想这不是我做的事。

Answer 1

我想我只是想通了。我改变了（新）的默认

protect_from_forgery with: :exception 

到

protect_from_forgery with: :null_session 

按照注释中ApplicationController。

# Prevent CSRF attacks by raising an exception. 
# For APIs, you may want to use :null_session instead. 

您可以通过在源寻找request_forgery_protecton.rb，或者更具体地说，下面几行看到了差距：

在Rails 3.2：

# This is the method that defines the application behavior when a request is found to be unverified. 
# By default, \Rails resets the session when it finds an unverified request. 
def handle_unverified_request 
    reset_session 
end 

在Rails 4：

def handle_unverified_request 
    forgery_protection_strategy.new(self).handle_unverified_request 
end 

这将调用the following：

def handle_unverified_request 
    raise ActionController::InvalidAuthenticityToken 
end 

Answer 2

我不认为通常关闭CSRF保护是不好的，只要你不专门实现一个API。

在查看关于ActionController的Rails 4 API文档时，我发现您可以关闭每个控制器或每个方法库的伪造保护。

例如关闭的方法CSRF保护您可以使用

class FooController < ApplicationController 
    protect_from_forgery except: :index 

Answer 3

而是关闭CSRF保护的，最好是下面的代码行添加到窗体

<%= tag(:input, :type => "hidden", :name => request_forgery_protection_token.to_s, :value => form_authenticity_token) %> 

如果您使用form_for或form_tag生成表单，则会自动将以上代码行添加到表单中

Answer 4

将以下行添加到表单中工作对我来说：

<%= hidden_field_tag :authenticity_token, form_authenticity_token %> 

Answer 5

当你定义你自己的HTML表单，那么你必须包含身份验证令牌字符串，应发送到控制器出于安全原因。如果您使用Rails表单助手来生成真实性标记，则按以下方式添加到表单中。

<form accept-charset="UTF-8" action="/login/signin" method="post"> 
    <div style="display:none"> 
    <input name="utf8" type="hidden" value="&#x2713;" /> 
    <input name="authenticity_token" type="hidden" value="x37DrAAwyIIb7s+w2+AdoCR8cAJIpQhIetKRrPgG5VA="> 
    </div> 
    ... 
</form> 

因此，解决问题的办法是要么添加authenticity_token场或使用轨道形成的助手而不是损害安全性等

Answer 6

在同样的问题来了。通过添加到我的控制器修复它：

 skip_before_filter :verify_authenticity_token, if: :json_request? 

Answer 7

您试过吗？

protect_from_forgery with: :null_session, if: Proc.new {|c| c.request.format.json? } 

Answer 8

这个官方文档 - 关于如何关闭伪造保护API谈判妥善 http://api.rubyonrails.org/classes/ActionController/RequestForgeryProtection.html

Answer 9

这是在Rails安全功能。加入这行代码的形式：

<%= hidden_field_tag :authenticity_token, form_authenticity_token %> 

文档可以在这里找到：添加了安全性和防伪保护的目的 http://api.rubyonrails.org/classes/ActionController/RequestForgeryProtection.html

Answer 10

这些功能。
但是，要回答你的问题，这里有一些输入。 您可以在控制器名称后添加这些行。

像这样，

class NameController < ApplicationController 
    skip_before_action :verify_authenticity_token 

这里有一些线路不同版本的轨道。

导轨3

skip_before_filter：verify_authenticity_token

导轨4：

skip_before_action：verify_authenticity_token

你应该打算禁用该安全功能对所有控制器程序，你可以protect_from_forgery的值更改为：您application_controller.rb文件null_session。

像这样，

class ApplicationController < ActionController::Base 
    protect_from_forgery with: :null_session 
end 

Answer 11

如果你正在使用jQuery与轨，警惕允许进入方法未经核实真实性令牌。

jQuery的UJS可以管理令牌你

你应该有它已经作为jQuery的轨道宝石的一部分，但你可能需要把它列入的application.js

//= require jquery_ujs 

这就是你所需要的 - 你的Ajax调用现在应该工作

欲了解更多信息，请参见： https://github.com/rails/jquery-ujs

Answer 12

添加authenticity_token: true到窗体标记

Answer 13

我所有的测试都正常工作。但由于某些原因，我已经把我的环境变量，以非测试：

export RAILS_ENV=something_non_test 

我忘了取消设置这个变量，因为这些我开始ActionController::InvalidAuthenticityToken例外。

未设置$RAILS_ENV后，我的测试重新开始工作。