如何允许 a) 没有 CSRF 令牌的 HTTP 身份验证 + SSL 或 b) 需要 CSRF 令牌与设备？

Question

我有一个 Rails 3 应用程序，使用在服务器上运行的设备配置了用户注册。我允许人们通过网站登录服务器，还允许人们创建帐户并使用 Iphone 应用程序登录。

当人们使用Iphone应用程序时，我想支持这两个操作：

a）在没有CSRF的情况下注册帐户（这会导致任何安全问题）吗？

b) 使用受 SSL 保护的 http 身份验证登录

c) 登录后发送到服务器的任何 POST 请求均受 SSL 的 http 身份验证保护。

当用户访问网站时，我希望所有操作都需要 CSRF 令牌（这样用户就不会每次都输入用户名和密码）。

感谢您的帮助。

Answer 1

您可以有选择地禁用控制器或单个操作方法上的 CSRF 令牌。

class StatsController < ApplicationController
  skip_before_filter :verify_authenticity_token
  ...
end

我实际上想做类似的事情，我会让 iPhone 使用不同的域名，并根据几个条件有选择地禁用 :verify_authenticity_token 过滤器。这只是为了让我们等待，直到我们能够启动并运行 OAUTH2 实现。