ruby-on-rails - Rails CSRF token - 它们会过期吗？

Question

我注意到如果您使用无效的 CSRF token 发帖，rails/devise 会自动将您注销。

我有一个不刷新页面的应用程序，用户长时间坐在实时页面上。用户时不时地被踢出。我想知道 CSRF token 是否到期，使其无效。

这就是为什么我要学习，Rails CSRF token 会过期吗？某处有时间设置吗？

谢谢

Answer 1

Rails 中的 CSRF 保护通过在提交的表单和用户 session 中存储一个随机值作为字段来工作。如果提交表单时这些值不匹配，Rails 会拒绝表单提交请求。

如果您使用 Rails 中的默认 cookie session 存储，则 session 不会过期(直到 cookie 过期)。如果您正在使用其他东西(文件或数据库支持的 session )，那么是的，如果这些 session 过期，表单提交将失败并出现 CSRF 错误。

因此，如果您使用基于 cookie 的 session (默认设置)，请检查 cookie 到期时间。如果这看起来没问题，那可能是其他问题。