Rails CSRF Protection + Angular.js: protect_from_forgery заставляет меня выйти из системы через POST

Если эта protect_from_forgeryопция упоминается в application_controller, я могу войти в систему и выполнить любые запросы GET, но при самом первом запросе POST Rails сбрасывает сеанс, в результате чего я выхожу из системы.

Я protect_from_forgeryвременно отключил эту опцию, но хотел бы использовать ее с Angular.js. Есть ли способ сделать это?

Я думаю, что чтение CSRF-значения из DOM - не лучшее решение, это просто обходной путь.

Вот форма документа официального сайта angularJS http://docs.angularjs.org/api/ng.$http :

Поскольку только JavaScript, который работает в вашем домене, может читать cookie, ваш сервер может быть уверен, что XHR поступил из JavaScript, запущенного в вашем домене.

Чтобы воспользоваться этой функцией (защита CSRF), ваш сервер должен установить токен в файле cookie сеанса, доступном для чтения JavaScript, который называется XSRF-TOKEN, при первом запросе HTTP GET. При последующих запросах, не связанных с GET, сервер может проверить соответствие файла cookie HTTP-заголовку X-XSRF-TOKEN.

Вот мое решение, основанное на этих инструкциях:

Сначала установите cookie:

# app/controllers/application_controller.rb

# Turn on request forgery protection
protect_from_forgery

after_action :set_csrf_cookie

def set_csrf_cookie
  cookies['XSRF-TOKEN'] = form_authenticity_token if protect_against_forgery?
end

Затем мы должны проверять токен для каждого запроса, отличного от GET.
Поскольку в Rails уже есть аналогичный метод, мы можем просто переопределить его, чтобы добавить нашу логику:

# app/controllers/application_controller.rb

protected
  
  # In Rails 4.2 and above
  def verified_request?
    super || valid_authenticity_token?(session, request.headers['X-XSRF-TOKEN'])
  end

  # In Rails 4.1 and below
  def verified_request?
    super || form_authenticity_token == request.headers['X-XSRF-TOKEN']
  end

Если вы используете защиту Rails CSRF по умолчанию ( <%= csrf_meta_tags %>), вы можете настроить свой модуль Angular следующим образом:

myAngularApp.config ["$httpProvider", ($httpProvider) ->
  $httpProvider.defaults.headers.common['X-CSRF-Token'] = $('meta[name=csrf-token]').attr('content')
]

Или, если вы не используете CoffeeScript (что !?):

myAngularApp.config([
  "$httpProvider", function($httpProvider) {
    $httpProvider.defaults.headers.common['X-CSRF-Token'] = $('meta[name=csrf-token]').attr('content');
  }
]);

Если вы предпочитаете, вы можете отправлять заголовок только для запросов, отличных от GET, примерно так:

myAngularApp.config ["$httpProvider", ($httpProvider) ->
  csrfToken = $('meta[name=csrf-token]').attr('content')
  $httpProvider.defaults.headers.post['X-CSRF-Token'] = csrfToken
  $httpProvider.defaults.headers.put['X-CSRF-Token'] = csrfToken
  $httpProvider.defaults.headers.patch['X-CSRF-Token'] = csrfToken
  $httpProvider.defaults.headers.delete['X-CSRF-Token'] = csrfToken
]

Кроме того, обязательно ознакомьтесь с ответом HungYuHei , который охватывает все базы на сервере, а не на клиенте.

Angular_rails_csrf камень автоматически добавляет поддержку для шаблона , описанного в ответ HungYuHei по всем контроллерам:

# Gemfile
gem 'angular_rails_csrf'

Ответ, который объединяет все предыдущие ответы и полагается, что вы используете Deviseдрагоценный камень аутентификации.

Прежде всего, добавьте драгоценный камень:

gem 'angular_rails_csrf'

Затем добавьте rescue_fromблок в application_controller.rb:

protect_from_forgery with: :exception

rescue_from ActionController::InvalidAuthenticityToken do |exception|
  cookies['XSRF-TOKEN'] = form_authenticity_token if protect_against_forgery?
  render text: 'Invalid authenticity token', status: :unprocessable_entity
end

И, наконец, добавьте модуль перехватчика в свое приложение angular.

# coffee script
app.factory 'csrfInterceptor', ['$q', '$injector', ($q, $injector) ->
  responseError: (rejection) ->
    if rejection.status == 422 && rejection.data == 'Invalid authenticity token'
        deferred = $q.defer()

        successCallback = (resp) ->
          deferred.resolve(resp)
        errorCallback = (resp) ->
          deferred.reject(resp)

        $http = $http || $injector.get('$http')
        $http(rejection.config).then(successCallback, errorCallback)
        return deferred.promise

    $q.reject(rejection)
]

app.config ($httpProvider) ->
  $httpProvider.interceptors.unshift('csrfInterceptor')

Я видел другие ответы и думал, что они отличные и хорошо продуманные. Я заставил мое приложение rails работать с тем, что я считал более простым решением, поэтому я решил поделиться. В моем приложении rails это было по умолчанию,

class ApplicationController < ActionController::Base
  # Prevent CSRF attacks by raising an exception.
  # For APIs, you may want to use :null_session instead.
  protect_from_forgery with: :exception
end

Я прочитал комментарии, и мне показалось, что это то, что я хочу использовать angular и избежать ошибки csrf. Я изменил это на это,

class ApplicationController < ActionController::Base
  # Prevent CSRF attacks by raising an exception.
  # For APIs, you may want to use :null_session instead.
  protect_from_forgery with: :null_session
end

И теперь это работает! Я не вижу причин, по которым это не должно работать, но я хотел бы услышать некоторые идеи от других плакатов.

Я использовал контент из ответа HungYuHei в своем приложении. Однако я обнаружил, что имел дело с несколькими дополнительными проблемами, некоторые из-за того, что я использовал Devise для аутентификации, а некоторые из-за значения по умолчанию, которое я получил с моим приложением:

protect_from_forgery with: :exception

Я отмечаю связанный вопрос о переполнении стека и ответы на него , и я написал гораздо более подробное сообщение в блоге, в котором суммируются различные соображения. Части этого решения, которые здесь актуальны, находятся в контроллере приложения:

  protect_from_forgery with: :exception

  after_filter :set_csrf_cookie_for_ng

  def set_csrf_cookie_for_ng
    cookies['XSRF-TOKEN'] = form_authenticity_token if protect_against_forgery?
  end

  rescue_from ActionController::InvalidAuthenticityToken do |exception|
    cookies['XSRF-TOKEN'] = form_authenticity_token if protect_against_forgery?
    render :error => 'Invalid authenticity token', {:status => :unprocessable_entity} 
  end

protected
  def verified_request?
    super || form_authenticity_token == request.headers['X-XSRF-TOKEN']
  end

Я нашел очень быстрый способ взлома. Все, что мне нужно было сделать, это следующее:

а. На мой взгляд, я инициализирую $scopeпеременную, которая содержит токен, скажем, перед формой, или даже лучше при инициализации контроллера:

<div ng-controller="MyCtrl" ng-init="authenticity_token = '<%= form_authenticity_token %>'">

б. В моем контроллере AngularJS перед сохранением новой записи я добавляю токен в хэш:

$scope.addEntry = ->
    $scope.newEntry.authenticity_token = $scope.authenticity_token 
    entry = Entry.save($scope.newEntry)
    $scope.entries.push(entry)
    $scope.newEntry = {}

Больше ничего делать не нужно.

 angular
  .module('corsInterceptor', ['ngCookies'])
  .factory(
    'corsInterceptor',
    function ($cookies) {
      return {
        request: function(config) {
          config.headers["X-XSRF-TOKEN"] = $cookies.get('XSRF-TOKEN');
          return config;
        }
      };
    }
  );

Он работает на стороне angularjs!