ruby-on-rails - 移动设备中的 InvalidAuthenticityToken 错误

Question

我在 StackOverflow 上阅读了多个关于 InvalidAuthenticityToken 和protect_from_forgery 的问题和答案，但没有一个更明智的。

我有一个网站，每天都会出现数百个这样的错误。它们似乎主要(仅？)来自移动设备，但我仅通过样本进行了验证。

我明白为什么有一个 AuthenticityToken 以及需要添加

<%= csrf_meta_tags %>

在application.html(我有)以及在应用程序 Controller 中有protect_from_forgery。我有 csrf_meta_tags 和:

protect_from_forgery with: :exception

在我的应用程序 Controller 中，这是默认设置。

我意识到我可以通过删除protect_from_forgery来“解决”问题，但这会使我容易受到CSRF攻击，所以这不是真正的解决方案，是吗？我可以为发生的表单帖子添加一个“除外”，用于protect_from_forgery，但这会让我同样容易受到攻击，对吧？

编辑:我尝试在禁用 cookie 的情况下使用手机访问表单，但遇到了 422 错误。无法让它导致异常。为我的“结果”函数添加一个异常(exception)删除了它，但我猜这使它容易受到攻击？

Edit2:我在同一页面上有多个表单(例如搜索表单)。也许这会影响这个问题？

我现在处于无法拥有它的位置，因为它每天会导致数百个用户出错，而且我无法删除它，因为我担心它会使我的网站容易受到黑客攻击。

那么，我能做什么？有没有一个像样的中间立场？

有什么办法可以改变protect_from_forgery，并且仍然相当有信心我的数据库不会被黑客破坏？

我没有为该站点使用任何 API，所有错误都来自同一类型的表单。我知道这个问题有一个 javascript 部分，但不是我如何使用这些信息来解决问题。

提前致谢!

我得到的异常示例:

An ActionController::InvalidAuthenticityToken occurred in calculations#result: 

ActionController::InvalidAuthenticityToken 

------------------------------- 
Request: 
------------------------------- 

* URL : http://www.example.com/calculation/result 
* HTTP Method: PUT 
* IP address : 217.214.148.251 
* Parameters : {"utf8"=>"✓", "_method"=>"put", "authenticity_token"=>"udnClerrF5UWvg84uaD82TzmPx/vWssv2wN9UPqyn10UwXqbOwa2FBtnZ5Nfo7HPh9xbA2OSrrUNineW50XiYg==", "commit"=>"Calculate", "controller"=>"calculations", "action"=>"result", "id"=>"123"} 
* Timestamp : 2016-08-19 12:11:09 UTC 
* Server : 2696e83c-1538-434d-ab6d-4e16577698d0 
* Rails root : /app 
* Process: 6 

------------------------------- 
Session: 
------------------------------- 

* session id: "42b36aacc78102605cb3365922a550b1" 
* data: {"session_id"=>"42b36aacc78102605cb3365922a550b1", 
"_csrf_token"=>"KU43tmmXbxxgoabHrbejg+NWWP1tUVoWABNDqO8FiFI="} 


------------------------------- 
Environment: 
------------------------------- 

* CONTENT_LENGTH : 322 
* CONTENT_TYPE : application/x-www-form-urlencoded 
* HTTP_ACCEPT : text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 
* HTTP_ACCEPT_ENCODING : gzip, deflate 
* HTTP_ACCEPT_LANGUAGE : sv-se 
* HTTP_CONNECTION : close 
* HTTP_CONNECT_TIME : 0 
* HTTP_COOKIE : __unam=91429fa-156a1632125-9bccf3-3; _ga=GA1.2.357545074.1471586444; _gat=1 
* HTTP_HOST : www.example.com 
* HTTP_ORIGIN : http://www.example.com
* HTTP_REFERER : http://www.kalkyleramera.se/calculation
* HTTP_TOTAL_ROUTE_TIME : 0 
* HTTP_USER_AGENT : Mozilla/5.0 (iPhone; CPU iPhone OS 9_3_3 like Mac OS X) AppleWebKit/601.1.46 (KHTML, like Gecko) Version/9.0 Mobile/13G34 Safari/601.1 
* HTTP_VERSION : HTTP/1.1 
* HTTP_VIA : 1.1 vegur 
* HTTP_X_FORWARDED_FOR : 217.214.148.251 
* HTTP_X_FORWARDED_PORT : 80 
* HTTP_X_FORWARDED_PROTO : http 
* HTTP_X_REQUEST_ID : 5e925192-d6ea-4cd3-b049-20010f11f2c2 
* HTTP_X_REQUEST_START : 1471608669086 

Answer 1

此问题正在讨论 here .如果这是您的问题，您应该看到 Can't verify CSRF token authenticity Completed 422 Unprocessable Entity在您的日志中。讨论了两种解决方案

更改缓存控制 config.action_dispatch.default_headers.merge!('Cache-Control' => 'no-store, no-cache')

将无效 session 更改为空 session protect_from_forgery with: :null_session

但这似乎仍然是一个悬而未决的问题。