ruby-on-rails - 我如何保护这个发布请求到 Rails？

Question

我正在努力解决我的 AJAX 调用的安全问题。我有一个 jQuery post 调用，它删除了一个注释。从我读过的内容来看，我似乎需要使用 protect_from_forgery以确保帖子来自有效用户。

这是我到目前为止

应用 Controller .rb

class ApplicationController < ActionController::Base
  protect_from_forgery
...

索引.html

$.post('../delete_note',{id:$('#note_id').val()}, function(data) {

});

note_controller.rb

def delete_note
    y params
    render :text => "success"
end 

目前，发布请求由 Rails 运行，即使我没有随它发送任何安全 token 。我需要做什么来确保通话安全？

我正在使用 Rails 3.0.1 和 devise用于用户管理。

Answer 1

您可能希望确保用户已登录，在您的笔记 Controller 中使用以下内容:

before_filter :authenticate_member!, :except => [:index]

另外，检查用户是否有删除笔记的权限，为此你想使用像 cancan这样的授权解决方案。 .