jquery - 防伪 token 作为 header 字段或作为 AJAX 上的 Post 值？

Question

我现在正在处理 Ring Anti Forgery防止网站受到 CSRF 攻击。现在我不确定是否应该将 token 作为 header 字段或作为 AJAX 请求上的 post 值传递，因为它们似乎都可以工作。

文档上写着:

The middleware also looks for the token in the X-CSRF-Token and X-XSRF-Token header fields, which are commonly used in AJAX requests.

将其设置为我这边的 header 字段的缺点是我必须将每个 Jquery $.post 更改为简单的 $.ajax 这样我就可以设置标题。

例如

$.ajax({
  url: "url",
  type: "post",
  data: {
    username: username, 
    sender: sender
  },
  headers: {
    "X-CSRF-Token": X_CSRF_Token,   
  }
});

对比

$.post( "url", { username: username, sender: sender, '__anti-forgery-token': X_CSRF_Token})
  .done(function( data ) {
  // done
});

我是否需要将每个 jQuery $.post 更改为 $.ajax 以便我可以将防伪 token 设置为 header 字段？

Answer 1

您可以使用$.ajaxSetup在每次 ajax 调用时设置 CSRF token :https://gist.github.com/alanhamlett/6316427