Ruby On Rails 应用程序与 angularJS 关于 AJAX

Question

我是 angularJS 和 Rails 的新手，我尝试使用 AngularJS 构建 Rails 应用程序

现在，我想做一个 POST 请求来发送数据插入数据库

活动控制器

def create
        @activity = Activity.new(params[:activity])

        respond_to do |format|
            if @activity.save
                format.html {redirect_to activities_url}
                format.json { render activities_url, status: :created, location: @activity}
            end
        end

end

活动咖啡 JS

app = module('activity', ['ngAnimate'])
app.controller 'FormCtrl', ($scope, $http) ->
    config = {
        header: {
            'Content-Type': 'application/json'
        }
    }
    @test = ->
        $http.post('/activities.json', {title: 'test1'}, config).success (data, status) ->
            console.log(data)
            console.log(status)
return

控制台日志

Started POST "/activities.json" for ::1 at 2016-05-04 21:06:10 +0800
Processing by ActivitiesController#create as JSON
  Parameters: {"title"=>"test1", "activity"=>{"title"=>"test1"}}
Can't verify CSRF token authenticity
Completed 422 Unprocessable Entity in 2ms (ActiveRecord: 0.0ms)

我创建了一个 ng-click 按钮来触发测试功能，但我得到了控制台日志等信息，我该如何解决？

Answer 1

这里有一个很好的答案：Rails API design without disabling CSRF protection

它的要点是您可以将 CSRF 令牌放入一个名为 XSRF-TOKEN 的 cookie 中，如下所示：

# In my ApplicationController
after_filter :set_csrf_cookie

def set_csrf_cookie
  if protect_against_forgery?
    cookies['XSRF-TOKEN'] = form_authenticity_token
  end
end

然后，您必须在 ApplicationController 中重载 verified_request? 方法以加载 Angular 将返回的令牌：

protected

def verified_request?
  super || valid_authenticity_token?(session, request.headers['X-XSRF-TOKEN'])
end

（尽管阅读我包含的链接..有一些警告，但我认为你还是想要这样的东西......基本上你的登录操作不应该受到csrf的保护，但其他潜在的破坏性操作应该。你可以实现skip_before_filter。）

希望对你有帮助！

Answer 2

我相信最快的方法是使用辅助方法form_authenticity_token。

$http({
  method: 'POST',
  url: '<%= some_path %>',
  params: { 
    authenticity_token: '<%= form_authenticity_token %>',
    ... // Other params
  }
})

没有必要禁用我完全不推荐的 CSRF。

Answer 3

您的问题是 Rails 的一项功能，旨在击败所谓的“跨站点请求伪造”。 Rails 团队已经详细描述了这一点on their website，但基本上它是一个生成的令牌，旨在确保生成对 web api 的请求的表单是您提供的表单。这通常会给单页 AJAX 应用程序带来麻烦。

“快速修复”是通过向控制器添加类似的内容来禁用 CSRF。

protect_from_forgery :except => :create

希望这会有所帮助！