Rails 4 Authenticity Token

Ich habe an einer neuen Rails 4-App (unter Ruby 2.0.0-p0) gearbeitet, als ich auf Probleme mit Authentizitätstoken gestoßen bin.

Beim Schreiben eines Controllers, der auf json reagiert (mithilfe der respond_toKlassenmethode), kam ich zu der createAktion, bei der ich ActionController::InvalidAuthenticityTokenAusnahmen versuchte, als ich versuchte, einen Datensatz mit zu erstellen curl.

Ich habe dafür gesorgt, dass ich -H "Content-Type: application/json"die Daten eingestellt habe und mit, -d "<my data here>"aber immer noch kein Glück.

Ich habe versucht, denselben Controller mit Rails 3.2 (unter Ruby 1.9.3) zu schreiben, und habe keinerlei Probleme mit Authentizitätstoken. Ich habe mich umgesehen und festgestellt, dass in Rails 4 einige Änderungen an Authentizitätstoken vorgenommen wurden. Soweit ich weiß, werden diese nicht mehr automatisch in Formulare eingefügt. Ich nehme an, dass dies irgendwie Auswirkungen auf Nicht-HTML-Inhaltstypen hat.

Gibt es eine Möglichkeit, dies zu umgehen, ohne ein HTML-Formular anfordern zu müssen, das Authentizitätstoken zu entreißen und dann eine weitere Anfrage mit diesem Token zu stellen? Oder fehlt mir etwas, das völlig offensichtlich ist?

Bearbeiten: Ich habe gerade versucht, einen neuen Datensatz in einer neuen Rails 4-App mithilfe eines Gerüsts zu erstellen, ohne etwas zu ändern, und ich habe das gleiche Problem, also habe ich es wohl nicht getan.

Ich glaube, ich habe es gerade herausgefunden. Ich habe die (neue) Standardeinstellung geändert

protect_from_forgery with: :exception

zu

protect_from_forgery with: :null_session

gemäß dem Kommentar in ApplicationController.

# Prevent CSRF attacks by raising an exception.
# For APIs, you may want to use :null_session instead.

Sie können den Unterschied erkennen, indem Sie in der Quelle nach request_forgery_protecton.rbden folgenden Zeilen suchen :

In Rails 3.2 :

# This is the method that defines the application behavior when a request is found to be unverified.
# By default, \Rails resets the session when it finds an unverified request.
def handle_unverified_request
  reset_session
end

In Schienen 4 :

def handle_unverified_request
  forgery_protection_strategy.new(self).handle_unverified_request
end

Welches wird das folgende nennen :

def handle_unverified_request
  raise ActionController::InvalidAuthenticityToken
end

Anstatt den CSRF-Schutz zu deaktivieren, ist es besser, die folgende Codezeile in das Formular einzufügen

<%= tag(:input, :type => "hidden", :name => request_forgery_protection_token.to_s, :value => form_authenticity_token) %> 

Wenn Sie form_for oder form_tag verwenden, um das Formular zu generieren, wird automatisch die obige Codezeile in das Formular eingefügt

Das Hinzufügen der folgenden Zeile zum Formular hat bei mir funktioniert:

<%= hidden_field_tag :authenticity_token, form_authenticity_token %>

Ich denke nicht, dass es gut ist, den CSRF-Schutz generell zu deaktivieren, solange Sie nicht ausschließlich eine API implementieren.

Wenn Sie sich die Rails 4-API-Dokumentation für ActionController ansehen ich fest, dass Sie den Fälschungsschutz pro Controller oder pro Methodenbasis deaktivieren können.

Zum Beispiel, um den CSRF-Schutz für Methoden zu deaktivieren, die Sie verwenden können

class FooController < ApplicationController
  protect_from_forgery except: :index

Kam über das gleiche Problem. Es wurde behoben, indem zu meinem Controller hinzugefügt wurde:

      skip_before_filter :verify_authenticity_token, if: :json_request?

Hast du versucht?

 protect_from_forgery with: :null_session, if: Proc.new {|c| c.request.format.json? }

In diesem offiziellen Dokument wird erläutert, wie der Fälschungsschutz für die API ordnungsgemäß deaktiviert wird. Http://api.rubyonrails.org/classes/ActionController/RequestForgeryProtection.html

Dies ist eine Sicherheitsfunktion in Rails. Fügen Sie diese Codezeile in das folgende Formular ein:

<%= hidden_field_tag :authenticity_token, form_authenticity_token %>

Die Dokumentation finden Sie hier: http://api.rubyonrails.org/classes/ActionController/RequestForgeryProtection.html

Diese Funktionen wurden aus Sicherheits- und Fälschungsschutzgründen hinzugefügt.
Um Ihre Frage zu beantworten, finden Sie hier einige Eingaben. Sie können diese Zeilen nach dem Namen des Controllers hinzufügen.

Wie so,

class NameController < ApplicationController
    skip_before_action :verify_authenticity_token

Hier sind einige Zeilen für verschiedene Versionen von Schienen.

Schienen 3

skip_before_filter: verify_authenticity_token

Schienen 4 :

skip_before_action: verify_authenticity_token

Wenn Sie diese Sicherheitsfunktion für alle Controller-Routinen deaktivieren möchten , können Sie den Wert von protected_from_forgery in Ihrer Datei application_controller.rb in null_session ändern .

Wie so,

class ApplicationController < ActionController::Base
  protect_from_forgery with: :null_session
end

Wenn Sie jQuery mit Rails verwenden, sollten Sie den Zugriff auf Methoden nicht zulassen, ohne das Authentizitätstoken zu überprüfen.

jquery-ujs kann die Token für Sie verwalten

Sie sollten es bereits als Teil des Edelsteins jquery-rail haben, müssen es jedoch möglicherweise in application.js mit aufnehmen

//= require jquery_ujs

Das ist alles was Sie brauchen - Ihr Ajax-Anruf sollte jetzt funktionieren

Weitere Informationen finden Sie unter: https://github.com/rails/jquery-ujs

In authenticity_token: truedem Formular - Tag

Wenn Sie Ihr eigenes HTML-Formular definieren, müssen Sie eine Authentifizierungs-Token-Zeichenfolge einschließen, die aus Sicherheitsgründen an den Controller gesendet werden soll. Wenn Sie den Rails Form Helper zum Generieren des Authentizitätstokens verwenden, wird das Formular wie folgt hinzugefügt.

<form accept-charset="UTF-8" action="/login/signin" method="post">
  <div style="display:none">
    <input name="utf8" type="hidden" value="&#x2713;" />
    <input name="authenticity_token" type="hidden" value="x37DrAAwyIIb7s+w2+AdoCR8cAJIpQhIetKRrPgG5VA=">
  </div>
    ...
</form>

Die Lösung des Problems besteht also darin, entweder das Feld authenticity_token hinzuzufügen oder Schienen von Helfern zu verwenden, anstatt die Sicherheit usw. zu gefährden.

Alle meine Tests haben gut funktioniert. Aber aus irgendeinem Grund hatte ich meine Umgebungsvariable auf Nicht-Test gesetzt:

export RAILS_ENV=something_non_test

Ich habe vergessen, diese Variable zu deaktivieren, weshalb ich eine ActionController::InvalidAuthenticityTokenAusnahme bekam.

Nach dem Deaktivieren $RAILS_ENVfunktionierten meine Tests wieder.