Des Rails, de la conception de l'authentification, CSRF problème

Je viens de lancer dans ce type de problème. Il y a beaucoup de choses ici.

TL;DR - La raison de l'échec est que le jeton CSRF est associé à votre session sur le serveur (vous avez un serveur de session si vous êtes connecté ou déconnecté). Le jeton CSRF est inclus dans les DOM votre page à chaque chargement de page. Lors de la déconnexion de votre session est remise à zéro et n'a pas de jeton csrf. Normalement, une déconnexion redirige vers une autre page/action, ce qui vous donne un nouveau jeton CSRF, mais puisque vous êtes à l'aide d'ajax, vous devez le faire manuellement.

• Vous avez besoin de remplacer le dispositif SessionController::détruire méthode pour retourner votre nouveau jeton CSRF.
• Puis sur le côté client, vous devez définir un gestionnaire de succès pour votre déconnexion XMLHttpRequest. Dans ce gestionnaire, vous devez prendre ce nouveau jeton CSRF de la réponse et de le fixer dans votre dom:
  $('meta[name="csrf-token"]').attr('content', <NEW_CSRF_TOKEN>)

Explication plus Détaillée Vous avez probablement obtenu protect_from_forgery défini dans votre ApplicationController.rb fichier à partir duquel tous les autres contrôleurs de l'héritage (ce qui est assez commun je crois). protect_from_forgery effectue CSRF vérifie tous les non-GET HTML/Javascript demandes. Depuis Concevoir de Connexion est un POST, il effectue une CSRF Vérifier. Si une CSRF Vérification échoue, alors l'utilisateur de la session en cours est effacé, c'est à dire, les journaux de l'utilisateur, parce que le serveur suppose que c'est une attaque (qui est la bonne/comportement souhaité).

Donc, en supposant que vous êtes débutant dans un déconnecté de l'état, vous faites un frais de chargement de la page, et de ne jamais recharger à nouveau à la page:

1. Sur le rendu de la page: le serveur insère le Jeton CSRF associé à votre serveur de session dans la page. Vous pouvez consulter ce jeton en exécutant la commande suivante à partir d'une console javascript dans votre navigateur$('meta[name="csrf-token"]').attr('content').

2. Vous puis connectez-vous via un XMLHttpRequest: Votre Jeton CSRF reste inchangée à ce point pour que le Jeton CSRF dans votre Session est toujours conforme à celle qui a été inséré dans la page. Derrière les coulisses, sur le côté client, jquery-ujs est à l'écoute pour xhr et la fixation d'un "X-CSRF Token' en-tête avec la valeur de $('meta[name="csrf-token"]').attr('content') automatiquement pour vous (rappelez-vous c'était le Jeton CSRF défini à l'étape 1 par le serveur). Le serveur compare le Jeton dans l'en-tête par jquery-ujs et celui qui est stocké dans votre session d'information et qu'ils correspondent à la demande réussit.

3. Vous pouvez alors vous Connecter à l'aide d'un XMLHttpRequest: Cela réinitialise session, vous donne une nouvelle session sans un Jeton CSRF.

4. Vous puis connectez-vous à nouveau par le biais d'un XMLHttpRequest: jquery-ujs tire le jeton CSRF de la valeur de $('meta[name="csrf-token"]').attr('content'). Cette valeur est encore votre VIEUX jeton CSRF. Il prend ce vieux jeton et l'utilise pour définir le "X-CSRF Token'. Le serveur compare cette valeur d'en-tête avec un nouveau jeton CSRF qu'il ajoute à votre session, ce qui est différent. Cette différence provoque le protect_form_forgery à l'échec, qui jette le WARNING: Can't verify CSRF token authenticity et réinitialise votre session, qui enregistre l'utilisateur.

5. Vous puis faire un autre XMLHttpRequest qui nécessite que l'utilisateur connecté: La session en cours n'ont pas un utilisateur connecté afin de concevoir renvoie un 401.

Mise à jour: 8/14 Concevoir de déconnexion ne vous donne pas un nouveau jeton CSRF, la redirection qui se passe normalement après une déconnexion vous donne un nouveau jeton csrf.

C'est mon point de vue:

class SessionsController < Devise::SessionsController
  after_filter :set_csrf_headers, only: [:create, :destroy]
  respond_to :json

  protected
  def set_csrf_headers
    if request.xhr?
      response.headers['X-CSRF-Param'] = request_forgery_protection_token
      response.headers['X-CSRF-Token'] = form_authenticity_token
    end
  end
end

Et sur le côté client:

$(document).ajaxComplete(function(event, xhr, settings) {
  var csrf_param = xhr.getResponseHeader('X-CSRF-Param');
  var csrf_token = xhr.getResponseHeader('X-CSRF-Token');

  if (csrf_param) {
    $('meta[name="csrf-param"]').attr('content', csrf_param);
  }
  if (csrf_token) {
    $('meta[name="csrf-token"]').attr('content', csrf_token);
  }
});

Qui va garder votre CSRF balises meta mis à jour chaque fois que vous retournez X-CSRF-Token ou X-CSRF-Param d'en-tête via une requête ajax.

J'ai juste ajouté ceci dans mon fichier de mise en page et il a travaillé

    <%= csrf_meta_tag %>

    <%= javascript_tag do %>
      jQuery(document).ajaxSend(function(e, xhr, options) {
       var token = jQuery("meta[name='csrf-token']").attr("content");
        xhr.setRequestHeader("X-CSRF-Token", token);
      });
    <% end %>

Dans mon cas, après la connexion de l'utilisateur, j'ai besoin de redessiner l'utilisateur menu. Cela a fonctionné, mais j'ai eu CSRF authenticité des erreurs sur chaque requête au serveur, dans ce même article (sans actualisation de la page, bien sûr). Solutions ci-dessus ne fonctionnait pas comme je voulais rendre un js vue.

Ce que j'ai fait est-ce, à l'aide de Concevoir:

app/controllers/sessions_controller.rb

   class SessionsController < Devise::SessionsController
      respond_to :json

      # GET /resource/sign_in
      def new
        self.resource = resource_class.new(sign_in_params)
        clean_up_passwords(resource)
        yield resource if block_given?
        if request.format.json?
          markup = render_to_string :template => "devise/sessions/popup_login", :layout => false
          render :json => { :data => markup }.to_json
        else
          respond_with(resource, serialize_options(resource))
        end
      end

      # POST /resource/sign_in
      def create
        if request.format.json?
          self.resource = warden.authenticate(auth_options)
          if resource.nil?
            return render json: {status: 'error', message: 'invalid username or password'}
          end
          sign_in(resource_name, resource)
          render json: {status: 'success', message: '¡User authenticated!'}
        else
          self.resource = warden.authenticate!(auth_options)
          set_flash_message(:notice, :signed_in)
          sign_in(resource_name, resource)
          yield resource if block_given?
          respond_with resource, location: after_sign_in_path_for(resource)
        end
      end

    end

Après que j'ai fait une demande au contrôleur#action qui redessinent le menu. Et dans le javascript, j'ai modifié le X-CSRF-Param et X-CSRF Token:

app/views/utilitaires/redraw_user_menu.js.erb

  $('.js-user-menu').html('');
  $('.js-user-menu').append('<%= escape_javascript(render partial: 'shared/user_name_and_icon') %>');
  $('meta[name="csrf-param"]').attr('content', '<%= request_forgery_protection_token.to_s %>');
  $('meta[name="csrf-token"]').attr('content', '<%= form_authenticity_token %>');

J'espère que c'est utile pour quelqu'un sur le même js situation 🙂

en réponse à un commentaire de @sixty4bit; si vous rencontrez cette erreur:

Unexpected error while processing request: undefined method each for :authenticity_token:Symbol` 

remplacer

response.headers['X-CSRF-Param'] = request_forgery_protection_token

avec

response.headers['X-CSRF-Param'] = request_forgery_protection_token.to_s