在 Rails 上使用 Ruby 緩存登錄 forms

Question

我有一個 Rails 3 網站，其主頁是 static 內容和登錄表單。 我想在此頁面上使用HTTP 緩存（我們在 Heroku - 在 Varnish 后面），但隨后登錄表單的真實性令牌被緩存，這會觸發偽造保護並阻止除第一個 Z21D6F240CFB5119082E 之外的所有人登錄

我認為我最好的做法是禁用此操作的偽造保護，但首先我想了解所涉及的風險。

那么……在這種情況下禁用偽造保護有什么風險？

或者，有沒有更好的方法來解決這個問題？

Answer 1

可能會發生不好的事情，默認情況下 CSRF 處於打開狀態是有原因的。 http://en.wikipedia.org/wiki/Cross-site_request_forgery#Forging_login_requests