我想知道为什么 Rails 形成 Authenticity Tokens 会持续整个会话，而不是每次提交时都生成唯一的。
我来自web2py，表单是使用称为_formkey 的唯一一次性令牌生成的。 formkey自动防止由于双击、后退键缓存等导致的重复提交。
在 Rails 中，您显然必须自己处理双重提交问题（参见 https://stackoverflow.com/a/4683161/165673）。在我看来，一次性真实性令牌可以解决这个问题，并且更安全？
【问题讨论】：
标签： ruby-on-rails forms web2py authenticity-token
整个会话的一个令牌更容易实现。考虑一下您有两个打开的带有表单的选项卡的情况。
一个会话令牌与一次性令牌解决方案一样安全。至少作为对 CSRF 攻击的保护。
在 Rails 中，您显然必须自己处理重复提交问题
为此提供了开箱即用的解决方案。阅读disable_with 选项。当然，所有修改数据的请求都应该通过 HTTP POST 发送，而不是 GET。
【讨论】：
disable_with，这是一个客户端解决方案——对用户体验很方便，但不是像标记化解决方案那样防止重复提交的可靠方法。
disable_with 很多年了，效果很好。我不明白你的问题到底是什么。
disable_with 不会帮助您处理以编程方式触发的 ajax 表单提交，或者在按下后退按钮后重新点击的缓存表单。如果您的数据的完整性受到威胁，您就不能依赖基于视图的强制执行。
disable_with 应该用于防止双重提交问题 - 当有人不小心双击提交按钮时。