ruby-on-rails - 自动化中的 CSRF

Question

假设我们有一些测试 POST 请求的自动化。由于 Rails 内置的 CSRF 保护，如果不包含 CSRF token ，这些 POST 请求将无法工作。

在这种情况下运行自动化的最佳实践是什么？
我们是否需要在每个自定义非 GET 请求中包含 CSRF token ？ (如果"is"，那么“如何？”)
或者最好配置应用程序以禁用自动化内容的 CSRF 保护？

Answer 1

我不确定是什么让您首先提出这个问题，但我很高兴回答这个问题:)

简短的回答是，这取决于您要用于自动化测试的工具。如果您要使用答案标签中的工具 - cucumber 和 watir - 那么一切都会按预期工作，因为这些工具将直接使浏览器自动化。

这意味着测试的行为将与现实生活中的用户类似——如果 CSRF token 检查适用于现实生活中的用户，那么它也适用于您的自动化测试。您不会通过这些测试手动发出任何 POST 请求(至少您不应该这样做)，但您将在网页上填写一个表单并提交该表单——这意味着 Rails 生成的 CSRF token 也将被提交一切都会好起来的。

但是，如果由于某些奇怪的原因您需要手动制作 POST 请求，那么您必须禁用 test 环境的 CSRF 检查。