如何禁用 jQuery 的 CSRF？

Question

我正在测试一个远程消息服务，并且我“相信”我需要在 jQuery 中禁用 CSRF 才能使我的初始远程测试成功。

我已经在应用程序控制器中禁用了 CSRF。

如果我通过应用程序本身发送 POST，则消息传递有效，并且我会在 Rails 服务器日志中获得以下输出：

于 2011-05-07 10:49:29 -0400 开始对 127.0.0.1 发布“/messages”
由 MessagesController#create as JS 处理
参数：{"utf8"=>"✓", "authenticity_token"=>"xxx", "message"=>{"content"=>"该死的"}, "commit"=>"发送" }
SQL (0.1ms) 选择名称
来自 sqlite_master
WHERE 类型 = 'table' 而不是 name = 'sqlite_sequence'

AREL (0.5ms) INSERT INTO "messages" ("content", "created_at", "updated_at") VALUES ('damn', '2011-05-07 14:49:29.887582', '2011-05- 07 14:49:29.887582') 渲染的消息/_message.html.erb（3.6ms） 渲染的消息/create.js.erb（8.2ms） 在 133 毫秒内完成 200 OK（查看次数：17.0 毫秒 | ActiveRecord：0.6 毫秒）

如果我通过 cURL 发送以下 POST 命令，我会得到以下输出：

    curl -X POST -d 'message={"content":"lololol", "commit":"Send"}' http://localhost:3000/messages

于 2011-05-07 10:54:15 -0400 开始对 127.0.0.1 发布“/messages”
由 MessagesController#create as
处理 参数：{"消息"=>"{\"内容\":\"lololol\",\"提交\":\"发送\"}"}
AREL（0.3ms）插入“消息”（“内容”，“created_at”，“updated_at”）值（NULL，'2011-05-07 14:54:15.934156'，'2011-05-07 14:54： 15.934156')
渲染的消息/_message.html.erb（0.5ms）
渲染消息/create.js.erb（4.2ms）
在 309 毫秒内完成 200 OK（查看次数：28.1 毫秒 | ActiveRecord：0.3 毫秒）

我可以在页面上看到一个空白条目，其中包含运行 cURL 命令时的时间戳，并且正在数据库中创建一条记录，其中包含除内容之外的所有内容。

是否可以安全地假设其原因是由于 jQuery 中的 CSRF 不允许发布内容？如果是这样，我该如何禁用它？或者 cURL 发布错误？或者两者的混合？

预先感谢您的帮助。

Answer 1

你的帖子是错误的。正确的语法是：

curl -X POST -d 'message[content]=lololol&commit=Send' http://localhost:3000/messages

CSRF 保护不会更改参数。默认情况下，当 CSRF 验证失败时，Rails 只会重置会话（请参阅 handle_unverified_request）。