Rails: Не вдається перевірити справжність токена CSRF під час надсилання запиту POST

Я хочу зробити POST requestдля свого місцевого розробника, ось так:

  HTTParty.post('http://localhost:3000/fetch_heroku',
                :body => {:type => 'product'},)

Однак із консолі сервера він повідомляє

Started POST "/fetch_heroku" for 127.0.0.1 at 2016-02-03 23:33:39 +0800
  ActiveRecord::SchemaMigration Load (0.0ms)  SELECT "schema_migrations".* FROM "schema_migrations"
Processing by AdminController#fetch_heroku as */*
  Parameters: {"type"=>"product"}
Can't verify CSRF token authenticity
Completed 422 Unprocessable Entity in 1ms

Ось мій контролер і налаштування маршрутів, це досить просто.

  def fetch_heroku
    if params[:type] == 'product'
      flash[:alert] = 'Fetch Product From Heroku'
      Heroku.get_product
    end
  end

  post 'fetch_heroku' => 'admin#fetch_heroku'

Я не впевнений, що мені потрібно робити? Вимкнути CSRF, безумовно, спрацювало б, але я вважаю, що це повинна бути моєю помилкою при створенні такого API.

Чи потрібно інше налаштування робити?

Підробка міжсайтових запитів (CSRF / XSRF) - це коли зловмисна веб-сторінка обманює користувачів виконати запит, який не призначений, наприклад, за допомогою закладок, фреймів або просто створивши сторінку, яка візуально досить схожа, щоб обдурити користувачів.

Захист Rails CSRF зроблено для «класичних» веб - додатків - це просто дає ступінь впевненості в тому , що запит виник з вашого власного веб - додатки. Токен CSRF працює як секрет, про який знає лише ваш сервер - Rails генерує випадковий маркер і зберігає його в сеансі. Ваші форми надсилають маркер через прихований вхід, а Rails перевіряє, чи будь-який запит, який не є GET, містить маркер, який відповідає тому, що зберігається в сеансі.

Однак API, як правило, за визначенням є перехресним сайтом і призначений для використання більше, ніж у вашій веб-програмі, а це означає, що вся концепція CSRF не зовсім застосовується.

Натомість вам слід використовувати стратегію аутентифікації запитів API за допомогою ключа та секрету API, оскільки ви перевіряєте, чи надходить запит від затвердженого клієнта API, а не від вашого власного додатка.

Ви можете деактивувати CSRF, як зазначив @dcestari:

class ApiController < ActionController::Base
  protect_from_forgery with: :null_session
end

Оновлено. У Rails 5 ви можете генерувати лише програми API, використовуючи --apiопцію:

rails new appname --api

Вони не включають проміжне програмне забезпечення CSRF та багато інших компонентів, які є надзвичайними.

• http://guides.rubyonrails.org/security.html#cross-site-request-forgery-csrf
• https://labs.kollegorna.se/blog/2015/04/build-an-api-now/
• ПОПЕРЕДЖЕННЯ: Не вдається перевірити рельси автентичності маркера CSRF

Інший спосіб вимкнути CSRF, який не відображає нульовий сеанс, - це додати:

skip_before_action :verify_authenticity_token

у вашому Rails Controller. Це забезпечить вам доступ до інформації про сеанс.

Знову ж таки, переконайтеся, що ви робите це лише в контролерах API або в інших місцях, де захист CSRF не зовсім застосовується.

На api.rubyonrails.org є відповідна інформація про конфігурацію CSRF щодо контролерів API :

⋮

Важливо пам’ятати, що це також впливає на запити XML або JSON, і якщо ви створюєте API, вам слід змінити метод захисту від підробки ApplicationController(за замовчуванням:) :exception:

class ApplicationController < ActionController::Base
  protect_from_forgery unless: -> { request.format.json? }
end

Можливо, ми хочемо вимкнути захист CSRF для API, оскільки вони, як правило, розроблені для забезпечення без стану. Тобто клієнт API запиту буде обробляти сеанс замість Rails.

⋮

З Rails 5 ви також можете створити новий клас за допомогою :: API замість :: Base:

class ApiController < ActionController::API
end

Якщо ви хочете виключити вибіркову дію контролера вибірки

class TestController < ApplicationController
  protect_from_forgery :except => [:sample]

  def sample
　　　　　render json: @hogehoge
  end
end

Ви можете без проблем обробляти запити ззовні.

Найпростішим рішенням проблеми є виконання стандартних дій у вашому контролері, або ви можете безпосередньо помістити його в ApplicationController

class ApplicationController < ActionController::Base protect_from_forgery with: :exception, prepend: true end