Rails: non è possibile verificare l'autenticità del token CSRF quando si effettua una richiesta POST

Voglio fare POST requestal mio sviluppatore locale, in questo modo:

  HTTParty.post('http://localhost:3000/fetch_heroku',
                :body => {:type => 'product'},)

Tuttavia, dalla console del server segnala

Started POST "/fetch_heroku" for 127.0.0.1 at 2016-02-03 23:33:39 +0800
  ActiveRecord::SchemaMigration Load (0.0ms)  SELECT "schema_migrations".* FROM "schema_migrations"
Processing by AdminController#fetch_heroku as */*
  Parameters: {"type"=>"product"}
Can't verify CSRF token authenticity
Completed 422 Unprocessable Entity in 1ms

Ecco il mio controller e la configurazione delle rotte, è abbastanza semplice.

  def fetch_heroku
    if params[:type] == 'product'
      flash[:alert] = 'Fetch Product From Heroku'
      Heroku.get_product
    end
  end

  post 'fetch_heroku' => 'admin#fetch_heroku'

Non sono sicuro di cosa devo fare? Disattivare il CSRF funzionerebbe sicuramente, ma penso che dovrebbe essere un mio errore durante la creazione di tale API.

C'è qualche altra configurazione che devo fare?

Cross site request forgery (CSRF / XSRF) si verifica quando una pagina Web dannosa induce gli utenti a eseguire una richiesta non intesa, ad esempio, utilizzando bookmarklet, iframe o semplicemente creando una pagina visivamente abbastanza simile da ingannare gli utenti.

La protezione Rails CSRF è fatta per le app web "classiche" - dà semplicemente un certo grado di sicurezza che la richiesta abbia avuto origine dalla tua app web. Un token CSRF funziona come un segreto che solo il tuo server conosce: Rails genera un token casuale e lo memorizza nella sessione. I tuoi moduli inviano il token tramite un input nascosto e Rails verifica che qualsiasi richiesta non GET includa un token che corrisponde a ciò che è memorizzato nella sessione.

Tuttavia, un'API è solitamente per definizione cross-site e pensata per essere utilizzata in più della tua app web, il che significa che l'intero concetto di CSRF non si applica del tutto.

Dovresti invece utilizzare una strategia basata su token per autenticare le richieste API con una chiave API e un segreto poiché stai verificando che la richiesta proviene da un client API approvato, non dalla tua app.

Puoi disattivare CSRF come indicato da @dcestari:

class ApiController < ActionController::Base
  protect_from_forgery with: :null_session
end

Aggiornato. In Rails 5 puoi generare applicazioni solo API utilizzando l' --apiopzione:

rails new appname --api

Non includono il middleware CSRF e molti altri componenti superflui.

• http://guides.rubyonrails.org/security.html#cross-site-request-forgery-csrf
• https://labs.kollegorna.se/blog/2015/04/build-an-api-now/
• ATTENZIONE: non è possibile verificare i binari di autenticità del token CSRF

Un altro modo per disattivare CSRF che non renderà una sessione nulla è aggiungere:

skip_before_action :verify_authenticity_token

nel tuo controller Rails. In questo modo avrai ancora accesso alle informazioni sulla sessione.

Ancora una volta, assicurati di farlo solo nei controller API o in altri luoghi in cui la protezione CSRF non si applica.

Ci sono informazioni rilevanti su una configurazione di CSRF rispetto ai controller API su api.rubyonrails.org :

⋮

È importante ricordare che anche le richieste XML o JSON sono interessate e se stai creando un'API dovresti cambiare il metodo di protezione dalla contraffazione in ApplicationController(per impostazione predefinita:) :exception:

class ApplicationController < ActionController::Base
  protect_from_forgery unless: -> { request.format.json? }
end

Potremmo voler disabilitare la protezione CSRF per le API poiché in genere sono progettate per essere prive di stato. Cioè, il client API di richiesta gestirà la sessione per te invece di Rails.

⋮

Da Rails 5 puoi anche creare una nuova classe con :: API invece di :: Base:

class ApiController < ActionController::API
end

Se si desidera escludere l'azione di esempio del controller di esempio

class TestController < ApplicationController
  protect_from_forgery :except => [:sample]

  def sample
　　　　　render json: @hogehoge
  end
end

Puoi elaborare le richieste dall'esterno senza problemi.

La soluzione più semplice per il problema è fare le cose standard nel tuo controller o puoi metterlo direttamente in ApplicationController

class ApplicationController < ActionController::Base protect_from_forgery with: :exception, prepend: true end

Se vuoi saltare solo la protezione CSRF per una o più azioni del controller (invece dell'intero controller), prova questo

skip_before_action :verify_authenticity_token, only [:webhook, :index, :create]

Dove [:webhook, :index, :create]salterà il controllo per queste 3 azioni, ma puoi passare a quella che vuoi saltare