为什么protect_from_forgery 是安全的？

Question

我不明白为什么protect_from_forgery 是安全的。它可以在每个非 GET 表单上提供一个真实性令牌。但正如我所见，它只是静态数据。我试图在我自己的网站上浏览几页以确保这一点。如果是这样的话。为什么恶意链接没有包含它，因为编码器可以通过直接访问该站点来获取它？或者实际的真实性令牌是随时间随机化的，只是我尝试的时间不够长？

注意：我只在测试环境中试过这个。

Answer 1

关于此主题有大量可用资源，其中讨论了protect_from_forgery 的工作原理以及它如何使您的应用程序更安全。

作为一个起点，rails security guide 讨论了这个以及其他几个主题。

还有一个Wikipedia page that discusses cross site request forgery。

最后，这个问题already has a great answer on SO。

希望这些资源有所帮助。