WARNING : Impossible de vérifier l'authenticité des rails CSRF token.

Question

J'envoie des données de la vue au contrôleur avec AJAX et j'ai obtenu cette erreur :

WARNING : Impossible de vérifier l'authenticité du jeton CSRF.

Je pense que je dois envoyer ce jeton avec les données.

Quelqu'un sait-il comment faire ?

Edit : Ma solution

J'ai fait cela en mettant le code suivant dans le post AJAX :

headers: {
  'X-Transaction': 'POST Example',
  'X-CSRF-Token': $('meta[name="csrf-token"]').attr('content')
},

Answer 1

Vous devriez le faire :

1. Assurez-vous que vous avez <%= csrf_meta_tag %> dans votre mise en page

2. Ajouter beforeSend à toutes les requêtes ajax pour définir l'en-tête comme ci-dessous :

---

$.ajax({ url: 'YOUR URL HERE',
  type: 'POST',
  beforeSend: function(xhr) {xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))},
  data: 'someData=' + someData,
  success: function(response) {
    $('#someDiv').html(response);
  }
});

Pour envoyer le jeton dans toutes les demandes, vous pouvez utiliser :

$.ajaxSetup({
  headers: {
    'X-CSRF-Token': $('meta[name="csrf-token"]').attr('content')
  }
});

Answer 2

La meilleure façon de procéder est de simplement utiliser <%= form_authenticity_token.to_s %> pour imprimer le jeton directement dans votre code rails. Vous n'avez pas besoin d'utiliser javascript pour rechercher le jeton csrf dans le domaine comme le mentionnent d'autres articles. Il suffit d'ajouter l'option headers comme ci-dessous ;

$.ajax({
  type: 'post',
  data: $(this).sortable('serialize'),
  headers: {
    'X-CSRF-Token': '<%= form_authenticity_token.to_s %>'
  },
  complete: function(request){},
  url: "<%= sort_widget_images_path(@widget) %>"
})

Answer 3

Si je me souviens bien, vous devez ajouter le code suivant à votre formulaire, pour vous débarrasser de ce problème :

<%= token_tag(nil) %>

N'oubliez pas le paramètre.

Answer 4

La mise à niveau d'une ancienne application vers rails 3.1, y compris la balise méta csrf, ne résout toujours pas le problème. Sur le blog rubyonrails.org, ils donnent quelques conseils de mise à niveau, et plus particulièrement cette ligne de jquery qui devrait se trouver dans la section head de votre mise en page :

$(document).ajaxSend(function(e, xhr, options) {
 var token = $("meta[name='csrf-token']").attr("content");
  xhr.setRequestHeader("X-CSRF-Token", token);
});

extrait de cet article de blog : http://weblog.rubyonrails.org/2011/2/8/csrf-protection-bypass-in-ruby-on-rails .

Dans mon cas, la session était réinitialisée à chaque requête ajax. L'ajout du code ci-dessus a résolu ce problème.

Answer 5

Je me suis dit que j'allais mettre ce lien ici car l'article contient la plupart des réponses que vous cherchez et il est également très intéressant.

http://www.kalzumeus.com/2011/11/17/i-saw-an-extremely-subtle-bug-today-and-i-just-have-to-tell-someone/