ruby-on-rails - Rails 的protect_from_forgery 真的有用吗？

Question

我问这个是因为当我开始使用 ajax 或 flash 与 rails 通信时，我觉得这让我的生活变得过于复杂。

我知道防止 CSRF 很好，但我不能只检查引用者或其他东西吗？

Answer 1

许多用户停用他们的推荐人，大多不是自愿的。
但是因为它们位于阻止它的防火墙后面。

使用防止伪造是保护您免受 CSRF 攻击的唯一解决方案。
但是您可以为任何您希望的操作停用。

在您的控制器中，添加：

skip_before_filter :verify_authenticity_token, :only => :create

这将停用您添加过滤器的控制器中创建操作的令牌验证。