ruby-on-rails - 在 Rails 路由中匹配一个不好的做法吗？

Question

是否使用了以下不良做法，是否会将您的控制器操作暴露给 CSRF 攻击？

match ':controller(/:action(/:id))(.:format)'

Answer 1

是的。看看verified_request?方法here。
它不验证GET请求的令牌。

您必须在路由中指定 HTTP 动词。

match "something" => "controller#action", :via => :post