何时为删除操作生成真实性令牌

Question

我了解到，当您查看new 和update 操作的表单时，rails 会生成真实性令牌以防止 CSRF 攻击，但是当操作为 destroy 时会生成此令牌，因此没有形式 ？

Answer 1

来自http://guides.rubyonrails.org/security.html#csrf-countermeasures：

为了防止所有其他伪造请求，我们引入了我们的网站知道但其他网站不知道的必需安全令牌。我们在请求中包含安全令牌并在服务器上对其进行验证。这是您的应用程序控制器中的单行代码，并且是新创建的 Rails 应用程序的默认设置：

protect_from_forgery with: :exception

这将在 Rails 生成的所有表单和 Ajax 请求中自动包含安全令牌。如果安全令牌与预期不匹配，则会引发异常。

删除 - 在没有表单的情况下完成 - 很可能实现为 Ajax request 并被 protect_from_forgery 覆盖。