Rails 4 Токен Подлинности

Добавление следующей строки в обработанную мной форму:

<%= hidden_field_tag :authenticity_token, form_authenticity_token %>

Вместо отключения защиты csrf лучше добавить следующую строку кода в форму

<%= tag(:input, :type => "hidden", :name => request_forgery_protection_token.to_s, :value => form_authenticity_token) %> 

и если вы используете form_for или form_tag для создания формы, то она автоматически добавит указанную выше строку кода в форму

Я не думаю, что это вообще полезно отключать защиту CSRF, пока вы не реализуете API исключительно.

При просмотре документации API Rails 4 для ActionController я обнаружил, что вы можете отключить защиту подделок на каждом контроллере или на базе метода.

Например, чтобы отключить защиту CSRF для методов, которые вы можете использовать

class FooController < ApplicationController
  protect_from_forgery except: :index

Произошла одна и та же проблема. Исправлено, добавив к контроллеру:

      skip_before_filter :verify_authenticity_token, if: :json_request?

Вы пытались?

 protect_from_forgery with: :null_session, if: Proc.new {|c| c.request.format.json? }

Этот официальный документ - говорит о том, как правильно отключить защиту подделок для api http://api.rubyonrails.org/classes/ActionController/RequestForgeryProtection.html

Это функция безопасности в Rails. Добавьте эту строку кода в форму:

<%= hidden_field_tag :authenticity_token, form_authenticity_token %>

Документацию можно найти здесь: http://api.rubyonrails.org/classes/ActionController/RequestForgeryProtection.html

Эти функции были добавлены для защиты и защиты подделок.
Однако, чтобы ответить на ваш вопрос, вот некоторые материалы. Вы можете добавить эти строки после имени контроллера.

Таким образом,

class NameController < ApplicationController
    skip_before_action :verify_authenticity_token

Вот несколько строк для разных версий рельсов.

Рельсы 3

skip_before_filter: verify_authenticity_token

Rails 4:

skip_before_action: verify_authenticity_token

Если вы намерены отключить эту функцию безопасности для всех подпрограмм контроллера, вы можете изменить значение protect_from_forgery на : null_session в файле application_controller.rb.

Таким образом,

class ApplicationController < ActionController::Base
  protect_from_forgery with: :null_session
end

Добавить authenticity_token: true в тег формы

Все мои тесты работали нормально. Но по какой-то причине я установил переменную среды для не-теста:

export RAILS_ENV=something_non_test

Я забыл отключить эту переменную, из-за которой я начал получать исключение ActionController::InvalidAuthenticityToken.

После отмены $RAILS_ENV мои тесты снова начали работать.

Если вы используете jQuery с рельсами, будьте осторожны с возможностью ввода методов без проверки токена аутентификации.

jquery-ujs может управлять токенами для вас

Вы должны иметь это уже как часть jquery-rails gem, но вам может потребоваться включить его в application.js с

//= require jquery_ujs

Это все, что вам нужно - ваш вызов ajax должен теперь работать

Для получения дополнительной информации см. https://github.com/rails/jquery-ujs

Когда вы определяете собственную форму html, вам нужно включить строку токена аутентификации, которая должна быть отправлена ​​контроллеру по соображениям безопасности. Если вы используете рельсы, создайте хелпер для создания токена аутентификации, добавьте его в форму следующим образом.

<form accept-charset="UTF-8" action="/login/signin" method="post">
  <div style="display:none">
    <input name="utf8" type="hidden" value="&#x2713;" />
    <input name="authenticity_token" type="hidden" value="x37DrAAwyIIb7s+w2+AdoCR8cAJIpQhIetKRrPgG5VA=">
  </div>
    ...
</form>

Таким образом, решение проблемы заключается в том, чтобы добавить поле authenticity_token или использовать рельсы, формирующие помощники, а не компрометирующие безопасность и т.д.