Rails - 失去与集成测试和 Capybara 的会话 - CSRF 相关？

Question

我正在使用 Rails 3.1.0.rc4，并且正在使用 capybara 的新 Steak-like DSL 和 Rspec（使用 Devise 身份验证）进行集成测试。

我遇到的问题是，当我运行集成测试时，机架来自水豚的测试驱动程序似乎完全丢失了用户登录的会话，事实上，会话似乎完全清除了。

经过几天的调试，我完全不知道为什么。通过逐行检查中间件堆栈，我相信我已经将问题归结为导致此问题的 ActiveRecord::SessionStore 中发生的事情。我在此处读到，如果可以的话，Rails 将清除会话' t 验证 CSRF 令牌，这让我相信我配置了错误，并且由于某种原因，这个测试没有正确验证 CSRF 令牌。

这是我的 /initializers 目录中的 session_store.rb 中的内容：

MyApp::Application.config.session_store :active_record_store

有谁了解 Rails 中的 CSRF 保护，有任何线索可以解释为什么会发生这种情况吗？

另外，这里有一些需要注意的事情：

• 我试图测试的东西实际上在浏览器本身内工作，只有这一个测试正在删除会话，
• 在提交操作网址为的表单后，会话似乎被删除到另一台服务器。我在测试中使用 VCR gem 捕获对此外部服务器的请求/响应，虽然我相信我已经将外部请求视为问题，但这可能与 CSRF 令牌未进行身份验证直接相关，从而清除会话。
• 涉及登录/使用会话的其他测试不会删除会话

任何人都可以给我任何关于这里到底发生了什么的线索，以及为什么一个测试似乎任意删除其会话并在我身上失败？我已经做了很多调试，并尝试了我能想到的一切。

Answer 1

我也是水豚新手，也遇到了类似的问题。

我试图登录用户做这样的事情：

post user_session_path, :user => {:email => user.email, :password => 'superpassword'}

并且工作正常，直到我尝试用水豚做一些事情，例如访问页面并测试用户是否登录。这个简单的测试没有通过：

visit root_path
page.should have_content("logout") #if the user is logged in then the logout link should be present

首先我以为水豚正在清除会话，但我错了。我花了一些时间才意识到，水豚驱动程序正在使用处理自己的会话，因此，从水豚的角度来看，我的用户从未登录过。为此，您必须这样做

page.driver.post user_session_path, :user => {:email => user.email, :password => 'superpassword'}

不确定是否这是你的情况，但希望有所帮助。

Answer 2

我可以通过在 config/initializers/test.rb 中将此值设置为 true 来修复此错误

# Disable request forgery protection in test environment
config.action_controller.allow_forgery_protection = true

之前，CSRF 标记未打印到 中。。改变这个值后，它们终于出现了。

Answer 3

手动执行此操作的方法非常简单：

it "does something after login" do
  password = "secretpass"
  user = Factory(:user, :password => password)
  visit login_path
  fill_in "Email", :with => user.email
  fill_in "Password", :with => password
  click_button "Log in"
  visit # somewhere else and do something
end

然后您可以将其分解为“spec_helper.rb”中的一个函数：

# at the bottom of 'spec_helper.rb'
def make_user_and_login
  password = "secretpass"
  @user = Factory(:user, :password => password)
  visit login_path
  fill_in "Email", :with => @user.email
  fill_in "Password", :with => password
  click_button "Log in"
end

并在任何测试中使用它（可能是请求规范）：

it "does something after login" do
  make_user_and_login
  # now test something that requires a logged in user
  # you have access to the @user instance variable
end

Answer 4

这可能不太可能，但我相信在 click_button 'Sign in' 并立即调用 visit else 后，我们最终会处于糟糕的状态。

我的理论是，当我们单击按钮时，请求尚未完成，我们通过访问另一条路径来终止它。

来自水豚文档：

向 DSL 发出指令时，例如：

<代码>
点击链接（'foo'）
click_link('栏')
期望（页面）.to have_content（'baz'）

如果单击 foo 链接触发异步进程，例如 Ajax 请求，该进程完成后会将 bar 链接添加到页面，则单击 bar 链接预计会失败，因为该链接不会还存在。 但是水豚足够聪明，会在放弃并抛出错误之前在短时间内重试查找链接。

如果是这种情况，解决方案很简单：给水豚一些东西来寻找并让它等待，直到请求完成。这可以很简单，只需添加：

expect(page).to have_text('Signed in as [电子邮件受保护]')