ottenere token csrf per richieste json post a un'app per rails

Question

Ho giocato con l'utilizzo di rest-client per accedere a un'app di rails che ho scritto. Ho scritto uno script veloce per accedere e fare una richiesta di post. Tutto funziona, ma ho dovuto aggirare il fatto che non viene fornito nessun autenticità_token se si fa una richiesta per un modulo in json. Ho dovuto fare una richiesta html regolare in altri ottenere il authenticity_token e quindi incluso questo nel json che ho inviato come parte della mia richiesta di post. Fondamentalmente ho un uno script rapido sporca come quella qui sotto

private_resource = RestClient::Resource.new('https://mysite.com') 

params = {:user => {:email => 'user@mysite.com', :password => 'please'}} 
#log in 
login_response = private_resource['users/sign_in'].post(params, :content_type => :json, :accept => :json) 
#get cookie 
cookie = login_response.cookies 
#get json 
json_response = private_resource['products/new'].get(:content_type => :json, :accept => :json, :cookies => cookie) 
#another request that returns html form with authenticity token 
response_with_token = private_resource['products/new'].get(:cookies => cookie) 
#extract token 
token = Nokogiri::XML(response_with_token).css('input[name=authenticity_token]').first.attr('value') 
#update cookie 
cookie = response_with_token.cookies 
#populate form and insert token 
form = JSON.parse(json_response) 
form['name'] = "my product" 
form['authenticity_token'] = token 
#submit the request 
private_resource['products'].post(form.to_json, {:cookies => cookie, :content_type => :json, :accept => :json}) 

C'è la possibilità di disattivare la protezione CSRF per le richieste di JSON ma non vorrei piuttosto fare. Potrei andare al percorso della meccanizzazione o qualcosa di simile e quindi non mi preoccuperei delle richieste di JSON con CSRF ma volevo solo giocare con questa roba con rest-client

Immagino di essere solo curioso di sapere se c'è una ragione per cui non viene fornito autenticità_token per le richieste json e mi chiedo anche se c'è un modo migliore per risolvere il problema token rispetto all'approccio piuttosto hacky che ho preso qui

Answer 1

Inserisci il codice qui sotto nella tua applicazione controller:

def verified_request? 
    if request.content_type == "application/json" 
     true 
    else 
     super() 
    end 
end 

E chiamare questo metodo utilizzando before_filter.

Per ulteriori dettagli controllare: http://blog.technopathllc.com/2011/09/rails-31-csrf-token-authenticity-for.html

e verificare questo problema in rotaie: https://github.com/rails/rails/issues/3041

Answer 2

Nel vostro app/views/products/new.json.jbuilder, aggiungere questo:

json.authenticity_token form_authenticity_token 

Ciò inserire una chiave "authenticity_token" con l'essere il valore il token, quindi nel tuo json_response ottieni anche il token. Idea da this answer.