WARNUNG: CSRF-Token-Authentizitätsschienen können nicht überprüft werden

Ich sende mit AJAX Daten von der Ansicht an den Controller und habe folgende Fehlermeldung erhalten:

WARNUNG: Die Authentizität des CSRF-Tokens kann nicht überprüft werden

Ich denke, ich muss dieses Token mit Daten senden.

Weiß jemand, wie ich das machen kann?

Edit: Meine Lösung

Dazu habe ich den folgenden Code in den AJAX-Beitrag eingefügt:

headers: {
  'X-Transaction': 'POST Example',
  'X-CSRF-Token': $('meta[name="csrf-token"]').attr('content')
},

Du solltest das tun:

1. Stellen Sie sicher, dass Sie <%= csrf_meta_tag %>in Ihrem Layout haben

2. Fügen Sie beforeSendzu allen Ajax-Anforderungen hinzu, um den Header wie folgt festzulegen:

$.ajax({ url: 'YOUR URL HERE',
  type: 'POST',
  beforeSend: function(xhr) {xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))},
  data: 'someData=' + someData,
  success: function(response) {
    $('#someDiv').html(response);
  }
});

So senden Sie Token in allen Anforderungen, die Sie verwenden können:

$.ajaxSetup({
  headers: {
    'X-CSRF-Token': $('meta[name="csrf-token"]').attr('content')
  }
});

Der beste Weg, dies zu tun, besteht <%= form_authenticity_token.to_s %>darin, das Token direkt in Ihrem Rails-Code auszudrucken. Sie müssen kein Javascript verwenden, um den Dom nach dem csrf-Token zu durchsuchen, wie in anderen Posts erwähnt. Fügen Sie einfach die Header-Option wie folgt hinzu.

$.ajax({
  type: 'post',
  data: $(this).sortable('serialize'),
  headers: {
    'X-CSRF-Token': '<%= form_authenticity_token.to_s %>'
  },
  complete: function(request){},
  url: "<%= sort_widget_images_path(@widget) %>"
})

Wenn ich mich richtig erinnere, müssen Sie Ihrem Formular den folgenden Code hinzufügen, um dieses Problem zu beheben:

<%= token_tag(nil) %>

Vergessen Sie den Parameter nicht.

In der Tat einfachster Weg. Machen Sie sich nicht die Mühe, die Überschriften zu ändern.

Stell sicher dass du hast:

<%= csrf_meta_tag %> in your layouts/application.html.erb

Machen Sie einfach ein verstecktes Eingabefeld wie folgt:

<input name="authenticity_token" 
               type="hidden" 
               value="<%= form_authenticity_token %>"/>

Oder wenn Sie einen jQuery Ajax-Beitrag wünschen:

$.ajax({     
    type: 'POST',
    url: "<%= someregistration_path %>",
    data: { "firstname": "text_data_1", "last_name": "text_data2", "authenticity_token": "<%= form_authenticity_token %>" },                                                                                  
    error: function( xhr ){ 
      alert("ERROR ON SUBMIT");
    },
    success: function( data ){ 
      //data response can contain what we want here...
      console.log("SUCCESS, data="+data);
    }
});

Ein Upgrade von einer älteren App auf Rails 3.1, einschließlich des csrf-Meta-Tags, löst es immer noch nicht. Auf dem rubyonrails.org-Blog geben sie einige Upgrade-Tipps, insbesondere diese Abfragezeile, die im Kopfbereich Ihres Layouts enthalten sein sollte:

$(document).ajaxSend(function(e, xhr, options) {
 var token = $("meta[name='csrf-token']").attr("content");
  xhr.setRequestHeader("X-CSRF-Token", token);
});

entnommen aus diesem Blog-Beitrag: http://weblog.rubyonrails.org/2011/2/8/csrf-protection-bypass-in-ruby-on-rails .

In meinem Fall wurde die Sitzung bei jeder Ajax-Anforderung zurückgesetzt. Durch Hinzufügen des obigen Codes wurde dieses Problem behoben.

1. Stellen Sie sicher, dass Sie <%= csrf_meta_tag %>in Ihrem Layout haben
2. Fügen Sie ein hinzu beforeSend, um das csrf-Token in die Ajax-Anforderung zum Festlegen des Headers aufzunehmen. Dies ist nur für postAnfragen erforderlich .

Der Code zum Lesen des csrf-Tokens ist im verfügbar rails/jquery-ujs, daher ist es imho am einfachsten, ihn wie folgt zu verwenden:

$.ajax({
  url: url,
  method: 'post',
  beforeSend: $.rails.CSRFProtection,
  data: {
    // ...
  }
})

Ich dachte nur, ich würde dies hier verlinken, da der Artikel die meisten Antworten enthält, die Sie suchen, und es ist auch sehr interessant

http://www.kalzumeus.com/2011/11/17/i-saw-an-extremely-subtle-bug-today-and-i-just-have-to-tell-someone/

Die Antworten mit der höchsten Bewertung sind korrekt, funktionieren jedoch nicht, wenn Sie domänenübergreifende Anforderungen ausführen , da die Sitzung nur verfügbar ist, wenn Sie jQuery ausdrücklich anweisen, das Sitzungscookie zu übergeben. So geht's:

$.ajax({ 
  url: url,
  type: 'POST',
  beforeSend: function(xhr) {
    xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))
  },
  xhrFields: {
    withCredentials: true
  }
});

Sie können es global wie unten schreiben.

Normales JS:

$(function(){

    $('#loader').hide()
    $(document).ajaxStart(function() {
        $('#loader').show();
    })
    $(document).ajaxError(function() {
        alert("Something went wrong...")
        $('#loader').hide();
    })
    $(document).ajaxStop(function() {
        $('#loader').hide();
    });
    $.ajaxSetup({
        beforeSend: function(xhr) {xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))}
    });
});

Kaffeeskript:

  $('#loader').hide()
  $(document).ajaxStart ->
    $('#loader').show()

  $(document).ajaxError ->
    alert("Something went wrong...")
    $('#loader').hide()

  $(document).ajaxStop ->
    $('#loader').hide()

  $.ajaxSetup {
    beforeSend: (xhr) ->
      xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))
  }

Hoppla..

Ich habe die folgende Zeile in meiner application.js verpasst

//= require jquery_ujs

Ich habe es ersetzt und es funktioniert ..

======= AKTUALISIERT =========

Nach 5 Jahren bin ich mit dem gleichen Fehler zurück, jetzt habe ich brandneue Rails 5.1.6 und ich habe diesen Beitrag wiedergefunden. Genau wie der Kreislauf des Lebens.

Das Problem war nun: Rails 5.1 entfernte standardmäßig die Unterstützung für jquery und jquery_ujs und fügte hinzu

//= require rails-ujs in application.js

Es macht die folgenden Dinge:

1. Bestätigungsdialoge für verschiedene Aktionen erzwingen;
2. Nicht-GET-Anfragen von Hyperlinks stellen;
3. Formulare oder Hyperlinks dazu bringen, Daten asynchron mit Ajax zu senden;
4. Die Schaltflächen zum Senden werden beim Senden des Formulars automatisch deaktiviert, um ein Doppelklicken zu verhindern. (von: https://github.com/rails/rails-ujs/tree/master )

Aber warum ist das csrf-Token für eine Ajax-Anfrage nicht enthalten? Wenn jemand dies im Detail weiß, kommentiere mich einfach. Ich weis das zu schätzen.

Wie auch immer, ich habe Folgendes in meine benutzerdefinierte js-Datei eingefügt, damit es funktioniert (Vielen Dank für andere Antworten, die mir helfen, diesen Code zu erreichen):

$( document ).ready(function() {
  $.ajaxSetup({
    headers: {
      'X-CSRF-Token': Rails.csrfToken()
    }
  });
  ----
  ----
});

Wenn Sie jQuery nicht verwenden und für Anforderungen eine Abruf- API verwenden, können Sie Folgendes verwenden, um Folgendes abzurufencsrf-token :

document.querySelector('meta[name="csrf-token"]').getAttribute('content')

fetch('/users', {
  method: 'POST',
  headers: {
    'Accept': 'application/json',
    'Content-Type': 'application/json',
    'X-CSRF-Token': document.querySelector('meta[name="csrf-token"]').getAttribute('content')},
    credentials: 'same-origin',
    body: JSON.stringify( { id: 1, name: 'some user' } )
    })
    .then(function(data) {
      console.log('request succeeded with JSON response', data)
    }).catch(function(error) {
      console.log('request failed', error)
    })

Verwenden Sie jquery.csrf ( https://github.com/swordray/jquery.csrf ).

• Schienen 5.1 oder höher

  $ yarn add jquery.csrf

  //= require jquery.csrf

• Schienen 5.0 oder früher

  source 'https://rails-assets.org' do
    gem 'rails-assets-jquery.csrf'
  end

  //= require jquery.csrf

• Quellcode

  (function($) {
    $(document).ajaxSend(function(e, xhr, options) {
      var token = $('meta[name="csrf-token"]').attr('content');
      if (token) xhr.setRequestHeader('X-CSRF-Token', token);
    });
  })(jQuery);

Wenn Sie Javascript mit jQuery verwenden, um das Token in Ihrem Formular zu generieren, funktioniert dies wie folgt:

<input name="authenticity_token" 
       type="hidden" 
       value="<%= $('meta[name=csrf-token]').attr('content') %>" />

Natürlich müssen Sie das <%= csrf_meta_tag %>in Ihrem Ruby-Layout haben.

Für diejenigen unter Ihnen, die eine Nicht-jQuery-Antwort benötigen, können Sie einfach Folgendes hinzufügen:

xmlhttp.setRequestHeader ('X-CSRF-Token', $ ('meta [name = "csrf-token"]'). attr ('content'));

Ein sehr einfaches Beispiel kann hier genannt werden:

xmlhttp.open ("POST", "example.html", true);
xmlhttp.setRequestHeader ('X-CSRF-Token', $ ('meta [name = "csrf-token"]'). attr ('content'));
xmlhttp.send ();

Ich hatte tagelang mit diesem Problem zu kämpfen. Jeder GET-Aufruf funktionierte ordnungsgemäß, aber alle PUTs erzeugten den Fehler "CSRF-Token-Authentizität kann nicht überprüft werden". Meine Website funktionierte einwandfrei, bis ich nginx ein SSL-Zertifikat hinzugefügt hatte.

Ich bin schließlich auf diese fehlende Zeile in meinen Nginx-Einstellungen gestoßen:

location @puma { 
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; 
    proxy_set_header Host $http_host; 
    proxy_redirect off;
    proxy_set_header X-Forwarded-Proto https;   # Needed to avoid 'WARNING: Can't verify CSRF token authenticity'
    proxy_pass http://puma; 
}

Nach dem Hinzufügen der fehlenden Zeile "proxy_set_header X-Forwarded-Proto https;" werden alle meine CSRF-Token-Fehler beendet.

Hoffentlich hilft das jemand anderem, der auch seinen Kopf gegen eine Wand schlägt. Haha

Wenn jemand Hilfe im Zusammenhang mit Uploadify und Rails 3.2 benötigt (wie ich, als ich diesen Beitrag gegoogelt habe), kann diese Beispiel-App hilfreich sein: https://github.com/n0ne/Uploadify-Carrierwave-Rails-3.2.3/blob/master /app/views/pictures/index.html.erb

Überprüfen Sie auch die Controller-Lösung in dieser App

Ich benutze Rails 4.2.4 und konnte nicht herausfinden, warum ich Folgendes bekam:

Can't verify CSRF token authenticity

Ich habe im Layout:

<%= csrf_meta_tags %>

In der Steuerung:

protect_from_forgery with: :exception

Beim Aufrufen tcpdump -A -s 999 -i lo port 3000wurde der gesetzte Header angezeigt (obwohl die Header nicht mit gesetzt werden mussten ajaxSetup- dies wurde bereits durchgeführt):

X-CSRF-Token: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
DNT: 1
Content-Length: 125
authenticity_token=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

Am Ende schlug es fehl, weil ich Cookies ausgeschaltet hatte. CSRF funktioniert nicht ohne aktivierte Cookies. Dies ist eine weitere mögliche Ursache, wenn dieser Fehler auftritt.