रेल: पोस्ट अनुरोध करते समय CSRF टोकन प्रामाणिकता को सत्यापित नहीं कर सकता

Question 1

मैं POST requestअपने स्थानीय देव को इस तरह बनाना चाहता हूं:

  HTTParty.post('http://localhost:3000/fetch_heroku',
                :body => {:type => 'product'},)

हालाँकि, सर्वर कंसोल से यह रिपोर्ट करता है

Started POST "/fetch_heroku" for 127.0.0.1 at 2016-02-03 23:33:39 +0800
  ActiveRecord::SchemaMigration Load (0.0ms)  SELECT "schema_migrations".* FROM "schema_migrations"
Processing by AdminController#fetch_heroku as */*
  Parameters: {"type"=>"product"}
Can't verify CSRF token authenticity
Completed 422 Unprocessable Entity in 1ms

यहाँ मेरा नियंत्रक और मार्ग सेटअप है, यह काफी सरल है।

  def fetch_heroku
    if params[:type] == 'product'
      flash[:alert] = 'Fetch Product From Heroku'
      Heroku.get_product
    end
  end

  post 'fetch_heroku' => 'admin#fetch_heroku'

मुझे यकीन नहीं है कि मुझे क्या करने की आवश्यकता है? CSRF को बंद करने के लिए निश्चित रूप से काम करेगा, लेकिन मुझे लगता है कि इस तरह की एपीआई बनाते समय मेरी गलती होनी चाहिए।

क्या कोई अन्य सेटअप है जो मुझे करने की आवश्यकता है?

Question 2

क्रॉस साइट अनुरोध जालसाजी (CSRF / XSRF) तब होता है जब एक दुर्भावनापूर्ण वेब पेज उपयोगकर्ताओं को एक अनुरोध करने के लिए प्रेरित करता है जो कि बुकमार्क, iframes या बस एक पेज बनाकर उदाहरण के लिए अभिप्रेत नहीं है जो उपयोगकर्ताओं को मूर्ख बनाने के लिए नेत्रहीन समान है।

रेल CSRF संरक्षण "शास्त्रीय" वेब ऐप्लिकेशन के लिए किया जाता है - यह केवल आश्वासन के एक डिग्री है कि अनुरोध अपने स्वयं के वेब एप्लिकेशन से उत्पन्न कर देता है। एक CSRF टोकन एक रहस्य की तरह काम करता है जिसे केवल आपका सर्वर जानता है - रेल एक यादृच्छिक टोकन उत्पन्न करता है और इसे सत्र में संग्रहीत करता है। आपके प्रपत्र एक छिपे हुए इनपुट के माध्यम से टोकन भेजते हैं और रेल सत्यापित करता है कि किसी भी गैर GET अनुरोध में एक टोकन शामिल है जो सत्र में संग्रहीत है।

हालाँकि, एक API आमतौर पर डेफिनिशन क्रॉस साइट के द्वारा होता है और इसका उपयोग आपके वेब ऐप से अधिक में किया जाता है, जिसका अर्थ है कि CSRF की पूरी अवधारणा काफी लागू नहीं होती है।

इसके बजाय आपको एपीआई कुंजी के साथ एपीआई अनुरोधों को प्रमाणित करने की एक गुप्त आधारित रणनीति का उपयोग करना चाहिए और जब से आप यह सत्यापित कर रहे हैं कि अनुरोध स्वीकृत एपीआई क्लाइंट से आता है - आपके अपने ऐप से नहीं।

आप CSRF को निष्क्रिय कर सकते हैं जैसा कि @dastyari द्वारा बताया गया है:

class ApiController < ActionController::Base
  protect_from_forgery with: :null_session
end

अपडेट किया गया। रेल 5 में आप केवल --apiविकल्प का उपयोग करके एपीआई उत्पन्न कर सकते हैं :

rails new appname --api

वे CSRF मिडलवेयर और कई अन्य घटकों को शामिल नहीं करते हैं जो सुपरफ्लॉस हैं।

Question 3

CSRF को बंद करने का एक और तरीका जो एक अशक्त सत्र को प्रस्तुत नहीं करेगा, वह है:

skip_before_action :verify_authenticity_token

आपके रेल नियंत्रक में। यह सुनिश्चित करेगा कि आपके पास अभी भी सत्र जानकारी तक पहुंच है।

फिर, सुनिश्चित करें कि आप केवल API नियंत्रकों या अन्य स्थानों पर ऐसा करते हैं जहां CSRF सुरक्षा काफी लागू नहीं होती है।

Question 4

Api.rubyonrails.org पर एपीआई नियंत्रकों के संबंध में CSRF के विन्यास पर प्रासंगिक जानकारी है :

⋮

यह याद रखना महत्वपूर्ण है कि XML या JSON अनुरोध भी प्रभावित होते हैं और यदि आप एक एपीआई का निर्माण कर रहे हैं, तो आपको जालसाजी संरक्षण विधि को ApplicationController(द्वारा में परिवर्तित करना चाहिए :exception):
class ApplicationController < ActionController::Base
  protect_from_forgery unless: -> { request.format.json? }
end
हम एपीआई के लिए CSRF सुरक्षा को निष्क्रिय करना चाहते हैं क्योंकि वे आमतौर पर राज्य-कम करने के लिए डिज़ाइन किए जाते हैं। यही है, अनुरोध API क्लाइंट रेल के बजाय आपके लिए सत्र को संभाल लेगा।

⋮

Question 5

5 रेल के बाद से आप :: बेस के बजाय :: एपीआई के साथ एक नया वर्ग भी बना सकते हैं :

class ApiController < ActionController::API
end

Question 6

यदि आप सैंपल कंट्रोलर के सैंपल एक्शन को बाहर करना चाहते हैं

class TestController < ApplicationController
  protect_from_forgery :except => [:sample]

  def sample
　　　　　render json: @hogehoge
  end
end

आप बिना किसी समस्या के बाहर से अनुरोधों को संसाधित कर सकते हैं।

Question 7

समस्या का सबसे सरल समाधान आपके नियंत्रक में मानक चीजें हैं या आप इसे सीधे ApplicationController में डाल सकते हैं

class ApplicationController < ActionController::Base protect_from_forgery with: :exception, prepend: true end

Question 8

यदि आप केवल एक या अधिक नियंत्रक क्रियाओं के लिए CSRF सुरक्षा को छोड़ना चाहते हैं (संपूर्ण नियंत्रक के बजाय), तो यह प्रयास करें

skip_before_action :verify_authenticity_token, only [:webhook, :index, :create]

[:webhook, :index, :create]उन 3 कार्यों के लिए चेक को कहां छोड़ेंगे, लेकिन आप जिसे भी छोड़ना चाहते हैं उसे बदल सकते हैं