从invalidAuthenticationToken❌想到需要忽略：verify_authenticity_token。

https://www.cnblogs.com/chentianwei/diary/2018/07/11/9296126.html

这篇日记记录了我遇到的invalidAuthenticaitonToken问题，以下是补充这方面的知识欠缺：

解决办法：

skip_before_action :verify_authenticity_token

或者protect_from_forgery :except => [:某个动作]

如果是api可以用protect_from_forgery unless: -> { request.format.json? }

---

ActionController::RequestForgeryProtection

讲解除了API, 在Guide中的controller和security中也有。

http://guides.rubyonrails.org/action_controller_overview.html#request-forgery-protection

http://guides.rubyonrails.org/security.html

针对伪造的请求的防护

1.避免破坏性行为： create, update, destroy要使用非GET request。 如果是RESTFUL的routes，无需注意了。

2.在请求中增加一个只有服务器才知道的令牌security token。如果没有正确的令牌，服务器拒绝访问。

Rails默认使用的token：

建立一个form。然后在chrome-inspect上看elements， 可以发现

<form action="/posts" accept-charset="UTF-8" data-remote="true" method="post">

<input name="utf8" type="hidden" value="✓">

<input type="hidden" name="authenticity_token" value="ilX2P1A/TobuXRrweoPj9sz3BDpebFVAxlsjjOYfNM7aoRM0ENmAHK5AGHi+tBzDxAiWK+bVRjtQAr5PLaflkA==">

　　<!--  fields -->

</form>

Rails使用form helper增加了token。大多数时候不用担心它，但如果手动写一个表格或其他原因需要增加这个token，可以通过这个方法：form_authenticity_token。

在Rails没有自动添加令牌的地方（如Ajax）可以使用这个方法

比如是在form中手动设置ajax:参考这篇文章的第2个回答，第一个回答我尝试了，不行。

新建的Rails，都会默认使用protect_from_forgery 方法（具体参数见api）。如果安全令牌验证失效，会抛出异常：即

　　invalidAuthenticaitonToken

Cross-Site Request Forgery (CSRF) 跨网页伪造请求

如何发生的：

通过一个恶意link,或什么，访问已经验证的用户才能访问的Web应用。机制是cookie中的session。只要session没有过期，攻击者就会执行未经授权的操作。

cookie会存储session id,并在服务器存储session hash。浏览器只要找到某个域名对应的cookie，就会在发生请求时，包含该cookie。

因此，假如一个请求来源于域名B网站（请求内容是删除域名A网站中的信息），浏览器也会在request时加上A网站的cookie。

例子：

小王在浏览一篇黑客发的帖子，上面有一个图像element，但实际上是一条删除命令<img src="http://www.webapp.com/project/1/destroy">

小王在www.webapp.com的session仍然是live的，因为他刚刚还在使用这个网站，并没有删除cookie。

小王在浏览黑帖时，浏览器发现这个图像元素，并尝试从webapp网站上加载图像，这时浏览器会向webapp网站发送请求并带着cookie。

webapp.com会验证cookie上的session id, 然后destroy 一个id是1的project ，然后返回结果页面。但由于非浏览器期待的结果，没有图像可以显示。

小王之后浏览webapp.com时才会发现他的project少了一条。

防范：就是上面的2条。

layout/application.rb中head中的：<%= csrf_meta_tags %>会生成安全令牌。

使用其他库调用Ajax，需要在head中添加它。

还有一些知识点，如果不使用session保存用户信息，需要手动解决。具体看这篇guide。