Rails: Không thể xác minh tính xác thực của mã thông báo CSRF khi thực hiện yêu cầu ĐĂNG

Tôi muốn gửi cho nhà POST requestphát triển địa phương của mình, như thế này:

  HTTParty.post('http://localhost:3000/fetch_heroku',
                :body => {:type => 'product'},)

Tuy nhiên, từ bảng điều khiển máy chủ, nó báo cáo

Started POST "/fetch_heroku" for 127.0.0.1 at 2016-02-03 23:33:39 +0800
  ActiveRecord::SchemaMigration Load (0.0ms)  SELECT "schema_migrations".* FROM "schema_migrations"
Processing by AdminController#fetch_heroku as */*
  Parameters: {"type"=>"product"}
Can't verify CSRF token authenticity
Completed 422 Unprocessable Entity in 1ms

Đây là bộ điều khiển và thiết lập các tuyến đường của tôi, nó khá đơn giản.

  def fetch_heroku
    if params[:type] == 'product'
      flash[:alert] = 'Fetch Product From Heroku'
      Heroku.get_product
    end
  end

  post 'fetch_heroku' => 'admin#fetch_heroku'

Tôi không chắc mình cần phải làm gì? Để tắt CSRF chắc chắn sẽ hoạt động, nhưng tôi nghĩ rằng đó là sai lầm của tôi khi tạo một API như vậy.

Có bất kỳ thiết lập nào khác mà tôi cần thực hiện không?

Giả mạo yêu cầu trên nhiều trang web (CSRF / XSRF) là khi một trang web độc hại lừa người dùng thực hiện một yêu cầu không nhằm mục đích, chẳng hạn bằng cách sử dụng bookmarklet, iframe hoặc chỉ bằng cách tạo một trang đủ giống về mặt hình ảnh để đánh lừa người dùng.

Các bảo vệ Rails CSRF được thực hiện cho các ứng dụng web "cổ điển" - nó chỉ đơn giản đưa ra một mức độ đảm bảo rằng yêu cầu có nguồn gốc từ ứng dụng web của riêng bạn. Mã thông báo CSRF hoạt động giống như một bí mật mà chỉ máy chủ của bạn biết - Rails tạo mã thông báo ngẫu nhiên và lưu trữ nó trong phiên. Biểu mẫu của bạn gửi mã thông báo qua một đầu vào ẩn và Rails xác minh rằng bất kỳ yêu cầu nào không phải GET đều bao gồm mã thông báo khớp với những gì được lưu trữ trong phiên.

Tuy nhiên, theo định nghĩa, một API thường là trang web chéo và được sử dụng trong nhiều ứng dụng web của bạn, có nghĩa là toàn bộ khái niệm về CSRF không hoàn toàn áp dụng.

Thay vào đó, bạn nên sử dụng chiến lược xác thực yêu cầu API dựa trên mã thông báo bằng khóa API và bí mật vì bạn đang xác minh rằng yêu cầu đến từ ứng dụng khách API được phê duyệt - không phải từ ứng dụng của riêng bạn.

Bạn có thể hủy kích hoạt CSRF như được chỉ ra bởi @dcestari:

class ApiController < ActionController::Base
  protect_from_forgery with: :null_session
end

Đã cập nhật. Trong Rails 5, bạn có thể tạo các ứng dụng chỉ API bằng cách sử dụng --apitùy chọn:

rails new appname --api

Chúng không bao gồm phần mềm trung gian CSRF và nhiều thành phần khác là chất siêu lỏng.

• http://guides.rubyonrails.org/security.html#cross-site-request-forgery-csrf
• https://labs.kollegorna.se/blog/2015/04/build-an-api-now/
• CẢNH BÁO: Không thể xác minh đường ray xác thực mã thông báo CSRF

Một cách khác để tắt CSRF sẽ không hiển thị phiên rỗng là thêm:

skip_before_action :verify_authenticity_token

trong Bộ điều khiển Rails của bạn. Điều này sẽ đảm bảo bạn vẫn có quyền truy cập vào thông tin phiên.

Một lần nữa, hãy đảm bảo rằng bạn chỉ thực hiện việc này trong bộ điều khiển API hoặc ở những nơi khác mà bảo vệ CSRF không được áp dụng.

Có thông tin liên quan về cấu hình CSRF liên quan đến bộ điều khiển API trên api.rubyonrails.org :

⋮

Điều quan trọng cần nhớ là các yêu cầu XML hoặc JSON cũng bị ảnh hưởng và nếu bạn đang xây dựng một API, bạn nên thay đổi phương pháp bảo vệ giả mạo trong ApplicationController(theo mặc định :exception:):

class ApplicationController < ActionController::Base
  protect_from_forgery unless: -> { request.format.json? }
end

Chúng tôi có thể muốn tắt tính năng bảo vệ CSRF cho các API vì chúng thường được thiết kế để không có trạng thái. Nghĩa là, ứng dụng API yêu cầu sẽ xử lý phiên cho bạn thay vì Rails.

⋮

Vì Rails 5, bạn cũng có thể tạo một lớp mới với :: API thay vì :: Base:

class ApiController < ActionController::API
end

Nếu bạn muốn loại trừ hành động mẫu của bộ điều khiển mẫu

class TestController < ApplicationController
  protect_from_forgery :except => [:sample]

  def sample
　　　　　render json: @hogehoge
  end
end

Bạn có thể xử lý các yêu cầu từ bên ngoài mà không gặp bất kỳ vấn đề gì.

Giải pháp đơn giản nhất cho vấn đề là làm những thứ tiêu chuẩn trong bộ điều khiển của bạn hoặc bạn có thể đặt trực tiếp nó vào ApplicationController

class ApplicationController < ActionController::Base protect_from_forgery with: :exception, prepend: true end