rails - «ПРЕДУПРЕЖДЕНИЕ. Не удается проверить подлинность токена CSRF» для запросов json devise

Question

Как я могу получить токен CSRF для передачи с запросом JSON?

Я знаю, что по соображениям безопасности Rails проверяет токен CSRF на всех типах запросов (включая JSON /XML).

Я мог бы вставить в свой контроллер skip_before_filter :verify_authenticity_token, но я бы потерял защиту CRSF (не рекомендуется :-)).

Это похоже (пока не принято) ответ предлагает

Получить токен с помощью <%= form_authenticity_token %>

Вопрос в том, как?Нужно ли мне сначала позвонить на любую из моих страниц, чтобы получить токен, а затем выполнить настоящую аутентификацию с помощью Devise?Или это единовременная информация, которую я могу получить с моего сервера и затем использовать последовательно (пока я не изменю ее вручную на самом сервере)?

Answer 1

РЕДАКТИРОВАТЬ :

В Rails 4 я теперь использую то, что @genkilabs предлагает в комментарии ниже:

protect_from_forgery with: :null_session, if: Proc.new { |c| c.request.format == 'application/json' }

Что вместо этогополного выключения встроенной защиты убивает любой сеанс, который может существовать, когда что-то попадает на сервер без токена CSRF.

---

skip_before_filter :verify_authenticity_token, :if => Proc.new { |c| c.request.format == 'application/json' }

Это отключит CSRFпроверьте json-сообщения / путы, которые правильно помечены как таковые.

Например, в iOS задайте для NSURLRequest следующее, где «параметры» - это ваши параметры:

---

[request setHTTPMethod:@"POST"];

[request setValue:@"application/json" 
       forHTTPHeaderField:@"content-type"];

[request setValue:@"application/json" 
       forHTTPHeaderField:@"accept"];

[request setHTTPBody:[NSData dataWithBytes:[parameters UTF8String] 
                                            length:[parameters length]]];

Answer 2

Вы можете отправить токен CSRF после успешного входа в систему, используя пользовательский заголовок.

Например, поместите это в свои сеансы # create:

response.headers['X-CSRF-Token'] = form_authenticity_token

Пример заголовка ответа при входе в систему с токеном CSRF:

HTTP/1.1 200 OK
Cache-Control: max-age=0, private, must-revalidate
Connection: Keep-Alive
Content-Length: 35
Content-Type: application/json; charset=utf-8
Date: Mon, 22 Oct 2012 11:39:04 GMT
Etag: "9d719d3b9aabd413c3603e04e8a3933d"
Server: WEBrick/1.3.1 (Ruby/1.9.3/2012-10-12)
Set-Cookie: [cut for readability] 
X-Csrf-Token: PbtMPfrszxH6QfRcWJCCyRo7BlxJUPU7HqC2uz2tKGw=
X-Request-Id: 178746992d7aca928c876818fcdd4c96
X-Runtime: 0.169792
X-Ua-Compatible: IE=Edge

Этот токен действует доВы снова входите в систему или (выходите из системы, если вы поддерживаете это через API).Ваш клиент может извлечь и сохранить токен из заголовков ответов входа в систему.Затем каждый запрос POST / PUT / DELETE должен установить заголовок X-CSRF-Token со значением, полученным во время входа в систему.

Пример заголовков POST с токеном CSRF:

POST /api/report HTTP/1.1
Accept: application/json
Accept-Encoding: gzip, deflate, compress
Content-Type: application/json; charset=utf-8
Cookie: [cut for readability]
Host: localhost:3000
User-Agent: HTTPie/0.3.0
X-CSRF-Token: PbtMPfrszxH6QfRcWJCCyRo7BlxJUPU7HqC2uz2tKGw=

Документация: form_authenticity_token

Answer 3

Действительно самый простой способ.Не беспокойтесь о смене заголовков.

Убедитесь, что у вас есть:

<%= csrf_meta_tag %>

в вашем layouts/application.html.erb

Просто сделайте скрытое поле ввода следующим образом:

<input name="authenticity_token" 
       type="hidden" 
       value="<%= form_authenticity_token %>"/>

Или, если вы хотите публиковать jjery ajax:

$.ajax({     
    type: 'POST',
    url: "<%= someregistration_path %>",
    data: { "firstname": "text_data_1", "last_name": "text_data2", "authenticity_token": "<%= form_authenticity_token %>" },                                                                                  
    error: function( xhr ){ 
      alert("ERROR ON SUBMIT");
    },
    success: function( data ){ 
      //data response can contain what we want here...
      console.log("SUCCESS, data="+data);
    }
});

Обычно, когда вы публикуете свои данные json, просто добавьте действительное поле authenticity_token к данным post, и предупреждение должно появитьсяпрочь ...

Answer 4

Я решил эту ошибку следующим образом:

class ApplicationController < ActionController::Base
  protect_from_forgery
  skip_before_action :verify_authenticity_token, if: :json_request?

  protected

  def json_request?
    request.format.json?
  end
end

Источник: http://api.rubyonrails.org/classes/ActionController/RequestForgeryProtection.html

Answer 5

Что беспокоит, так это то, что в Rails 3.2.3 мы теперь получаем предупреждение CSRF в production.log, но сообщение не перестает работать!Я хочу, чтобы это потерпело неудачу, поскольку это защищает меня от нападений.И вы можете добавить токен csrf с помощью jquery перед фильтром:

http://jasoncodes.com/posts/rails-csrf-vulnerability

Answer 6

Этот ответ лучше.

Вы можете сохранить проверку CSRF-TOKEN без лишних усилий (токен добавляется) перед отправкой любого запроса XMLHttpRequest. Нет JQuery, нет ничего, просто скопируйте / вставьте и обновите.

Просто добавьте этот код.

(function() {
    var send = XMLHttpRequest.prototype.send,
        token = $('meta[name=csrf-token]').attr('content');
    XMLHttpRequest.prototype.send = function(data) {
        this.setRequestHeader('X-CSRF-Token', token);
        return send.apply(this, arguments);
    };
}());

Answer 7

Я использовал ниже.Используя включить?поэтому, если тип контента - application / json; charset = utf-8, он все еще работает.

protect_from_forgery with: :null_session, if: Proc.new { |c| c.request.format.include? 'application/json' }

Answer 8

У меня была такая же проблема со следующей версией Rails:
gem 'rails',: git => 'git: //github.com/rails/rails.git',: branch => '3-2-stable'

Я обновился до 3.2.2, и теперь у меня все работает нормально. :)
драгоценный камень 'рельсы', '3.2.2'

Answer 9

Также для режима разработки / тестирования.

protect_from_forgery with: :exception unless %w(development test).include? Rails.env

Это предупреждение появляется из-за того, что вы используете :null_session, в Rails 4.1 оно работает по умолчанию, если не указаны опции with:.

protect_from_forgery

Answer 10

Я столкнулся с той же проблемой сегодня вечером. Причина в том, что когда вы входите в систему, последний csrf-токен больше не действителен. То, что я сделал, было: $("meta[name=csrf-token]").attr('content', '<%= form_authenticity_token %>'); в вашем приложении / views / devise / session / create.js.rb.

Теперь у него есть действительный токен csrf :) Надеюсь, это поможет