Raylar 3 protect_from_forgery doğru çalışmıyor mu?

Question

Varsayılan olarak application_controller.rb dosyasında protect_from_forgery olan Rails 3.0.2 kullanıyorum.

InvalidAuthenticityToken'u tetiklemek istedim.
Sayfamı bu javascript eklemiş Bunun için:

$('input[name=authenticity_token]').val('aaa') 

Firebug ile DOM kontrol etme ben authenticity_token gizli alan doğru güncellenir görüyoruz.

Formu gönderir ve günlüğü sunucudan kontrol edersem göreceli parametrenin doğru şekilde 'aaa' olarak ayarlandığını görürsünüz. İstek doğru olduğunda işlenirken bir InvalidAuthenticityToken almayı beklerdim!

Bu nasıl olabilir?

Answer 1

Özgünlük belirteci/csrf davranışının belgeleri güncel değil. Bu durumlarda artık InvalidAuthenticityToken istisnası atılmıyor, bunun yerine oturumunuz sıfırlanıyor. Bunu farklı bir şekilde (veya eski yolla) işlemek isterseniz, kendi davranışınızı denetleyicinizde handle_unverified_request olarak tanımlayabilirsiniz.

Answer 2

Ayrıca, formunuzun içinde bulunduğu html sayfasının meta etiketinde bulunan Orijinallik belirtecini sıfırlamanız gerektiğine de inanıyorum (orada <% = csrf_meta_tag%> olduğunu varsayarak). Rails, formdaki simgeden (yukarıdaki javascript'inizde değiştirdiğinizden) veya html sayfasının meta etiketindeki simgenin Rails'in beklenen özgünlük belirteciyle eşleşip eşleşmediğini kontrol eder ve bunlardan herhangi biri eşleşirse InvalidAuthenticityToken kazanır ' t tetiklenir ....