OSTRZEŻENIE: Nie można zweryfikować szyn autentyczności tokenów CSRF

Przesyłam dane z widoku do kontrolera za pomocą AJAX i otrzymałem ten błąd:

OSTRZEŻENIE: Nie można zweryfikować autentyczności tokenu CSRF

Myślę, że muszę wysłać ten token z danymi.

Czy ktoś wie jak to zrobić?

Edycja: Moje rozwiązanie

Zrobiłem to, umieszczając następujący kod w poście AJAX:

headers: {
  'X-Transaction': 'POST Example',
  'X-CSRF-Token': $('meta[name="csrf-token"]').attr('content')
},

Powinieneś to zrobić:

1. Upewnij się, że masz <%= csrf_meta_tag %>w swoim układzie

2. Dodaj beforeSenddo wszystkich żądań ajax, aby ustawić nagłówek jak poniżej:

$.ajax({ url: 'YOUR URL HERE',
  type: 'POST',
  beforeSend: function(xhr) {xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))},
  data: 'someData=' + someData,
  success: function(response) {
    $('#someDiv').html(response);
  }
});

Aby wysłać token we wszystkich żądaniach, możesz użyć:

$.ajaxSetup({
  headers: {
    'X-CSRF-Token': $('meta[name="csrf-token"]').attr('content')
  }
});

Najlepszym sposobem na to jest po prostu <%= form_authenticity_token.to_s %>wydrukowanie tokena bezpośrednio w kodzie szyny. Nie musisz używać javascript do przeszukiwania domeny w poszukiwaniu tokena csrf, jak wspominają inne posty. po prostu dodaj opcję nagłówków, jak poniżej;

$.ajax({
  type: 'post',
  data: $(this).sortable('serialize'),
  headers: {
    'X-CSRF-Token': '<%= form_authenticity_token.to_s %>'
  },
  complete: function(request){},
  url: "<%= sort_widget_images_path(@widget) %>"
})

Jeśli dobrze pamiętam, musisz dodać następujący kod do formularza, aby pozbyć się tego problemu:

<%= token_tag(nil) %>

Nie zapomnij parametru.

Rzeczywiście najprostszy sposób. Nie zawracaj sobie głowy zmienianiem nagłówków.

Upewnij się że masz:

<%= csrf_meta_tag %> in your layouts/application.html.erb

Po prostu wykonaj ukryte pole wejściowe w następujący sposób:

<input name="authenticity_token" 
               type="hidden" 
               value="<%= form_authenticity_token %>"/>

Lub jeśli chcesz postu jQuery ajax:

$.ajax({     
    type: 'POST',
    url: "<%= someregistration_path %>",
    data: { "firstname": "text_data_1", "last_name": "text_data2", "authenticity_token": "<%= form_authenticity_token %>" },                                                                                  
    error: function( xhr ){ 
      alert("ERROR ON SUBMIT");
    },
    success: function( data ){ 
      //data response can contain what we want here...
      console.log("SUCCESS, data="+data);
    }
});

Uaktualnienie ze starszej aplikacji do szyn 3.1, w tym metatag csrf, nadal go nie rozwiązuje. Na blogu rubyonrails.org podają kilka wskazówek dotyczących aktualizacji, aw szczególności tej linii jquery, która powinna znaleźć się w sekcji head twojego układu:

$(document).ajaxSend(function(e, xhr, options) {
 var token = $("meta[name='csrf-token']").attr("content");
  xhr.setRequestHeader("X-CSRF-Token", token);
});

zaczerpnięte z tego postu na blogu: http://weblog.rubyonrails.org/2011/2/8/csrf-protection-bypass-in-ruby-on-rails .

W moim przypadku sesja była resetowana przy każdym żądaniu ajax. Dodanie powyższego kodu rozwiązało ten problem.

1. Upewnij się, że masz <%= csrf_meta_tag %>w swoim układzie
2. Dodaj a, beforeSendaby dołączyć token csrf do żądania ajax, aby ustawić nagłówek. Jest to wymagane tylko w przypadku postwniosków.

Kod do odczytu tokena csrf jest dostępny w rails/jquery-ujs, więc imho najłatwiej jest po prostu z niego skorzystać w następujący sposób:

$.ajax({
  url: url,
  method: 'post',
  beforeSend: $.rails.CSRFProtection,
  data: {
    // ...
  }
})

Pomyślałem, że mogę to tutaj linkować, ponieważ artykuł zawiera większość odpowiedzi, której szukasz, i jest również bardzo interesujący

http://www.kalzumeus.com/2011/11/17/i-saw-an-extremely-subtle-bug-today-and-i-just-have-to-tell-someone/

Najczęściej głosowane odpowiedzi tutaj są poprawne, ale nie będą działać, jeśli wykonujesz żądania między domenami, ponieważ sesja nie będzie dostępna, chyba że wyraźnie powiesz jQuery, aby przekazała sesyjny plik cookie. Oto jak to zrobić:

$.ajax({ 
  url: url,
  type: 'POST',
  beforeSend: function(xhr) {
    xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))
  },
  xhrFields: {
    withCredentials: true
  }
});

Możesz napisać to globalnie, jak poniżej.

Normalny JS:

$(function(){

    $('#loader').hide()
    $(document).ajaxStart(function() {
        $('#loader').show();
    })
    $(document).ajaxError(function() {
        alert("Something went wrong...")
        $('#loader').hide();
    })
    $(document).ajaxStop(function() {
        $('#loader').hide();
    });
    $.ajaxSetup({
        beforeSend: function(xhr) {xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))}
    });
});

Skrypt kawy:

  $('#loader').hide()
  $(document).ajaxStart ->
    $('#loader').show()

  $(document).ajaxError ->
    alert("Something went wrong...")
    $('#loader').hide()

  $(document).ajaxStop ->
    $('#loader').hide()

  $.ajaxSetup {
    beforeSend: (xhr) ->
      xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))
  }

ups ..

W moim pliku application.js brakuje mi następującego wiersza

//= require jquery_ujs

Wymieniłem go i działa.

======= AKTUALIZACJA =========

Po 5 latach wróciłem z tym samym błędem, teraz mam zupełnie nowe Railsy 5.1.6 i ponownie znalazłem ten post. Zupełnie jak krąg życia.

Problem polegał na tym, że Rails 5.1 domyślnie usunął obsługę jquery i jquery_ujs i dodał

//= require rails-ujs in application.js

Robi następujące rzeczy:

1. wymuś okna dialogowe potwierdzania różnych działań;
2. wysyłać żądania inne niż GET z hiperłączy;
3. zmusza formularze lub hiperłącza do przesyłania danych asynchronicznie za pomocą Ajax;
4. przyciski przesyłania są automatycznie wyłączane w formularzu przesyłania, aby zapobiec podwójnemu kliknięciu. (od: https://github.com/rails/rails-ujs/tree/master )

Ale dlaczego nie zawiera tokena csrf dla żądania ajax? Jeśli ktoś wie o tym szczegółowo, po prostu skomentuj mnie. Doceniam to.

W każdym razie dodałem następujące elementy do mojego niestandardowego pliku js, aby działał (dziękuję za inne odpowiedzi, które pomogą mi dotrzeć do tego kodu):

$( document ).ready(function() {
  $.ajaxSetup({
    headers: {
      'X-CSRF-Token': Rails.csrfToken()
    }
  });
  ----
  ----
});

Jeśli nie używasz jQuery i używasz czegoś takiego jak API pobierania dla żądań, możesz użyć następujących opcji, aby uzyskać csrf-token:

document.querySelector('meta[name="csrf-token"]').getAttribute('content')

fetch('/users', {
  method: 'POST',
  headers: {
    'Accept': 'application/json',
    'Content-Type': 'application/json',
    'X-CSRF-Token': document.querySelector('meta[name="csrf-token"]').getAttribute('content')},
    credentials: 'same-origin',
    body: JSON.stringify( { id: 1, name: 'some user' } )
    })
    .then(function(data) {
      console.log('request succeeded with JSON response', data)
    }).catch(function(error) {
      console.log('request failed', error)
    })

Użyj jquery.csrf ( https://github.com/swordray/jquery.csrf ).

• Rails 5.1 lub nowszy

  $ yarn add jquery.csrf

  //= require jquery.csrf

• Railsy 5.0 lub wcześniejsze

  source 'https://rails-assets.org' do
    gem 'rails-assets-jquery.csrf'
  end

  //= require jquery.csrf

• Kod źródłowy

  (function($) {
    $(document).ajaxSend(function(e, xhr, options) {
      var token = $('meta[name="csrf-token"]').attr('content');
      if (token) xhr.setRequestHeader('X-CSRF-Token', token);
    });
  })(jQuery);

Jeśli używasz javascript z jQuery do generowania tokena w formularzu, działa to:

<input name="authenticity_token" 
       type="hidden" 
       value="<%= $('meta[name=csrf-token]').attr('content') %>" />

Oczywiście musisz mieć <%= csrf_meta_tag %>w swoim układzie Ruby.

Dla tych z Was, którzy potrzebują odpowiedzi innej niż jQuery, możesz po prostu dodać:

xmlhttp.setRequestHeader („Token X-CSRF”, $ („meta [nazwa =„ token csrf ”]”). attr („content”));

Bardzo prosty przykład może być tutaj:

xmlhttp.open („POST”, „example.html”, true);
xmlhttp.setRequestHeader („Token X-CSRF”, $ („meta [nazwa =„ token csrf ”]”). attr („content”));
xmlhttp.send ();

Walczyłem z tym problemem przez wiele dni. Każde wywołanie GET działało poprawnie, ale wszystkie PUT generowałyby błąd „Nie można zweryfikować autentyczności tokenu CSRF”. Moja strona działała dobrze, dopóki nie dodałem certyfikatu SSL do nginx.

W końcu natknąłem się na tę brakującą linię w moich ustawieniach nginx:

location @puma { 
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; 
    proxy_set_header Host $http_host; 
    proxy_redirect off;
    proxy_set_header X-Forwarded-Proto https;   # Needed to avoid 'WARNING: Can't verify CSRF token authenticity'
    proxy_pass http://puma; 
}

Po dodaniu brakującej linii „proxy_set_header X-Forwarded-Proto https;” wszystkie moje tokeny CSRF zostały zamknięte.

Mam nadzieję, że pomoże to komuś, kto również uderza głową o ścianę. ha ha

jeśli ktoś potrzebuje pomocy związanej z Uploadify i Rails 3.2 (tak jak ja, gdy przejrzałem ten post), ta przykładowa aplikacja może być pomocna: https://github.com/n0ne/Uploadify-Carrierwave-Rails-3.2.3/blob/master /app/views/pictures/index.html.erb

sprawdź także rozwiązanie kontrolera w tej aplikacji

Korzystam z Rails 4.2.4 i nie mogłem zrozumieć, dlaczego otrzymałem:

Can't verify CSRF token authenticity

Mam w układzie:

<%= csrf_meta_tags %>

W kontrolerze:

protect_from_forgery with: :exception

Wywołanie tcpdump -A -s 999 -i lo port 3000pokazywało ustawiony nagłówek (mimo że nie trzeba ustawiać nagłówków za pomocą ajaxSetup- zostało to już zrobione):

X-CSRF-Token: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
DNT: 1
Content-Length: 125
authenticity_token=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

W końcu się nie udawało, ponieważ miałem wyłączone pliki cookie. CSRF nie działa bez włączonych plików cookie, więc jest to kolejna możliwa przyczyna tego błędu.