Rails 5.2 ActionController::InvalidAuthenticityToken

Question

升级到 Rails 5.2 后，我开始收到应用程序中所有表单的ActionController::InvalidAuthenticityToken错误。 我通过禁用所有表单的 Turbolinks 来解决这个问题，这有效但不是一个很好的解决方案。

搜索互联网，推荐的常见解决方案似乎是禁用protect_from_forgery

skip_before_action :verify_authenticity_token, raise: false

• https://github.com/ForestAdmin/forest-rails/pull/254
• Rails 5.2 的一些控制器操作提供了 InvalidAuthenticityToken
• https://github.com/nsarno/knock/issues/208
• https://github.com/rails/rails/commit/ec4a836919c021c0a5cf9ebeebb4db5e02104a55

为什么我们需要禁用protect_from_forgery ，这不会造成安全漏洞吗？

编辑

csrf_meta_tags在布局中。

Answer 1

对于 Rails 5.2 default_protect_from_forgery 默认在ActionController::Base上启用。

您可以使用以下语法禁用它，如PR 中所述。

config.action_controller.default_protect_from_forgery = false

参考文档：

config.action_controller.default_protect_from_forgery 决定是否在 ActionController:Base 上添加伪造保护。 默认情况下这是 false，但在加载 Rails 5.2 的默认值时启用。

Answer 2

对于 rails 5.2，我必须将这些添加到控制器内的行中，我遇到了一个问题：

  skip_before_action :verify_authenticity_token, raise: false
  skip_after_action :verify_authorized

它适用于我的情况。