js请求上的Rails ActionController::InvalidCrossOriginRequest

Question

我知道这已经在 SO 上提出a few times，但我无法取得进展。我在 Rails 5.0.7.2 上。

我每天被ActionController::InvalidCrossOriginRequest 抛出数百次。 Rollbar 说它主要是由 Bingbot 引起的，它在我的用户注册模式上，它来自 Devise。是一个GET请求，路径是/users/sign_up。

注意：这不是一个表单。它是一个简单询问用户的模式您想如何注册？电子邮件、Fb、Google 身份验证等。

基本上，我的网站上有一些 javascript 操作，例如 reddit 或 stackoverflow upvote 之类的图片。我不在这些链接上使用remote: true，而是我有一个$.ajax 调用来处理upvote，如下所示：

var token = document.querySelector('meta[name="csrf-token"]').content;

$.ajax({
  // For the upvote, type will be POST
  type: $this.data('method'),
  beforeSend: function(xhr) {
    xhr.setRequestHeader('X-CSRF-Token', token)
  },
  url: $this.data('url'),
  success: function(data) {
    // Some cleanup...
  }
}); 

一旦登出的访问者尝试投票，它就会触发 ajax 请求，然后暂停（未授权）并重定向，如下所示：

Started POST "/upvotes/toggle_vote"
Processing by UpvotesController#toggle_vote as */*
Completed 401 Unauthorized in 1ms (ActiveRecord: 0.0ms)


Started GET "/users/sign_up"
Processing by RegistrationsController#new as */*

这是我覆盖的设计控制器：

class RegistrationsController < Devise::RegistrationsController

  def new
    # ... other code        

    respond_to do |format|
      format.js   { render layout: false }
      format.html { respond_with self.resource }
    end
  end
end

在/views/devise/registrations 内部我有new.js.erb，它打开了“您想如何注册？”模态的。

我的尝试：

• 我不认为通过添加 protect_from_forgery except: :new 来解决它是正确的答案（正如在类似问题中提出的那样），因为这本质上是不安全的。

• 我尝试按照this 重新排序respond_to 格式，但这会使注册模式无法打开。

• 我试图在 respond_to 块中添加一个 format.any { raise ActionController::RoutingError.new("Not Found") } catch-all，但这并没有解决错误。

• 正如您在上面的 $.ajax 调用中看到的那样，我什至尝试设置 X-CSRF-Token 标头。

顺便说一下，完整的错误文本是这样的：

ActionController::InvalidCrossOriginRequest: Security warning: an embedded <script> tag on another site requested protected JavaScript. If you know what you're doing, go ahead and disable forgery protection on this action to permit cross-origin JavaScript

有什么想法吗？

可能是因为UpvotesController#toggle_vote 重定向到RegistrationsController#new 并从 POST 更改为 GET，所以真实性令牌丢失了吗？

Answer 1

您需要使用修改服务器中资源的 ajax 请求发送真实性令牌（post/put/patch/delete）。通常，rails 会将其作为隐藏字段添加到表单中。

Answer 2

对我来说，这似乎是一个 CORS 问题，就像错误提示我从嵌入式 javascript 发出的 API 调用一样，该调用位于与服务器上定义的域不同的域中。这会触发 CORS 错误。通常要修复 CORS 错误，您需要在允许的域列表中添加带有网站域的标头 Access-Control-Allow-Origin。 您可以使用 rack cors gem 轻松做到这一点：https://github.com/cyu/rack-cors

Answer 3

在表单中添加它应该可以解决问题：

<% hidden_field_tag :authenticity_token, form_authenticity_token %>

Answer 4

几个想法：

1. 你不应该自己放置 csrf 令牌，jquery-rails 或 rails-ujs（我不确定你使用的是哪一个）为你做；使用 rails-ujs 你需要使用Rails.ajax 方法

2. There is no redirecting POST to GET and keeping the original POST headers ，这意味着您确实在 GET 请求中丢失了 csrf 令牌（但是您通常不会在 GET 请求中发送或需要 CSRF 令牌，因此请检查您为什么这样做）。