Rails REST API 服务器：protect_from_forgery 选项以及放置身份验证令牌的位置

Question

更新（2015 年 8 月 14 日）：感谢 @EugZol 的想法，我更新了标题，因为之前的标题具有误导性。

我现在正在尝试构建 Rails REST API 服务器。

我已经阅读了其他人的帖子，我可以使用protect_from_forgery with: :null_session 来处理 JSON 请求的 CSRF 问题，尤其是 POST 请求。我认为这个 null_session 只会清理会话（这对 JSON 请求没用）。

但是我怎样才能对用户是否登录进行身份验证呢？我不想在每个请求中都发送密码。所以我认为:null_session 可能不安全。

如果您能提供一些关于以下方面的想法，我将不胜感激：

1. 如果指定了:null_session，如何对 REST API 服务器进行身份验证检查？
2. 如果解决方案是使用authenticate_token，我应该将此令牌放在我的 JSON 响应中的什么位置？客户应该把它放在哪里？
3. 按照上一个：我需要在数据库中保存该令牌的摘要吗？我认为现在不会使用会话...

非常感谢。

Answer 1

如果您不使用 cookie 来授权您的客户端，则无法完成 CSRF。它之所以有效，只是因为浏览器会自动将 cookie 添加到请求中。例如。当你打开以下图片时：

<img src="my.bank/withdraw_funds?to=john_doe">

您的浏览器将向my.bank 发出请求并附加cookie，授权转移。

但是，如果您使用某些 API 令牌（作为请求参数或标头），则无法制作恶意图像/表单来将该令牌添加到请求中（因为攻击者不知道令牌)。

而且，是的，您应该将此令牌放入数据库。 Rails 的 session 使用 cookie，如前所述，API 服务器不应依赖它们。

您的身份验证方法（可能在 ApplicationController 中的某处）如下所示：

before_action :authenticate

def authenticate
  @user = User.where(token: params.require(:token)).first
end

然后您可以在您的操作中使用@user。在客户端，您只需将?token=... 添加到您的请求参数中。

如果您使用标头（更好，至少因为您不应该担心在执行 GET 请求时令牌会保存在代理服务器的日志中），您将 X-Authentication-Token: ... 标头添加到您的请求中，然后修改您的ApplicationController 这样：

before_action :authenticate

def authenticate
  @user = User.where(token: request.headers['HTTP_X_AUTHENTICATION_TOKEN']).first
end