Köşeli JS POST İsteğinde CSRF Simgesini Doğrulama

Question

AngularJS Rails ile kullanıyorum. Kullanıcıları toplu olarak güncelleyen aşağıdaki isteğim var.

$http{ 
    method: 'POST', 
    url: $scope.update_url, 
    params: {selected_ids: userIds} 
} 

Bu 'GET' isteği olamaz nedeniyle URL'ye (http://support.microsoft.com/kb/208427) uzunluğunda kısıtlamalara

Ama 'POST' talebi için

, başlıkta bir CSRF özgünlük belirtecine sahip olmamız gerekiyor.

CSRF Token'i posta isteği üstbilgisine nasıl ayarlayabiliriz?

Answer 1

0 başlıklarını $http hizmetinde açıklanan şekilde ayarlayabilirsiniz.

Sen global olarak ayarlayabilirsiniz:

$httpProvider.defaults.headers.post['My-Header']='value' (or) 
$http.defaults.headers.post['My-Header']='value'; 

ya da tek bir istek için

:

xsrf (: İşte

$http({ 
    headers: { 
     'My-Header': 'value' 
    } 
}); 

Angular gelen önemli bir alıntı XSRF) Koruma XSRF, yetkisiz bir sitenin kullanıcı priva'larını kazanabileceği bir tekniğidir. Veri. Açısal , XSRF'ye karşı aşağıdaki mekanizmayı sağlar. XHR istekleri gerçekleştirilirken, $ http hizmeti XSRF-TOKEN adlı bir çerezden bir jetonu okur ve bunu X-XSRF-TOKEN HTTP başlığı olarak ayarlar. Sadece alanınızda çalışan javascript çerezleri okuyabildiğinden, sunucunuz , XHR'nin etki alanınızda çalışan JavaScript’ten geldiğinden emin olabilirsiniz.

Bunun avantajından yararlanmak için sunucunuzun, ilk HTTP GET isteği üzerine XSRF-TOKEN adlı JavaScript tarafından okunabilir bir oturum çerezinde bir belirteç belirlemesi gerekir. Sonraki GET olmayan isteklerde sunucu, çerezi X-XSRF-TOKEN HTTP üstbilgisiyle eşleştiğini doğrulayabilir ve bu nedenle, yalnızca alan adınızda çalışan JavaScript'in belirtecini okuyabildiğinden emin olun. belirteci her kullanıcı için benzersiz olmalıdır ve sunucusu tarafından doğrulanabilir olmalıdır (JavaScript'in kendi belirteçlerini oluşturmasını önlemek için). , belirtecin ek güvenlik sağlamak için sitenizin kimlik doğrulaması çerezinin bir özetini tavsiye etmesini öneririz.

Answer 2

aslında Raylar bu cevabı bir XSRF-TOKEN çerez değerini nasıl ayarlanacağını merak ediyorsanız Rails CSRF Protection + Angular.js: protect_from_forgery makes me to log out on POST

Answer 3

Geçenlerde aynı sorunu ve angular_rails_js Çözmedim mücevher ekleyerek karşılaştığı bir uygulama vardır. Anladığım kadarıyla, her ray için, CSRF-TOKEN ile açısal $ http tarafından yakalanacak (varsayılan $ http davranışı) rayları içeren bir çerez denetler.