何时跳过verify_authenticity_token

Question

为什么人们会跳过验证，增加应用的安全漏洞？在只有GET请求的页面上禁用它是否有益？提前谢谢。

Answer 1

rails中的GET请求已跳过CRSF检查

http://guides.rubyonrails.org/security.html

CSRF 3.1CSRF对策-首先，按照W3C的要求，适当使用GET和POST。其次，非GET请求中的安全令牌将保护您的应用程序免受CSRF的攻击。

你也可以看到方法本身。

http://api.rubyonrails.org/classes/ActionController/RequestForgeryProtection.html#method-i-verify_authenticity_token

 .... Also, GET requests are not protected as these should be idempotent. ....

 verified_request?()
   Returns true or false if a request is verified. Checks:
   is it a GET request? Gets should be safe and idempotent

Answer 2

如果你有跨域的应用程序，你可能会在authtoken验证时出错，你可以禁用它，但当然你的应用程序是不安全的。在Rails3中，对于开箱即用的跨域解决方案有一些特殊的方法