bezpieczeństwo bezpieczne, aby wyłączyć tokeny csrf dla wywołań Json Rails?

Question

Mam istniejącą witrynę backendu Rails, która wywołuje json na serwerze. Teraz tworzę mobilną aplikację na iOS, aby korzystać z tego samego zaplecza i wysyłać połączenia w jsonie. Jednak wnioski komórkowych niepowodzeniem z:

WARNING: Can't verify CSRF token authenticity 

wyszukiwanie wokół stackoverflow, wiele sugeruje, aby wyłączyć kontrole CSRF dla połączeń json używając coś takiego:

# Or this in your application_controller.rb 
def verified_request? 
    if request.content_type == "application/json" 
    true 
    else 
    super() 
    end 
end 

Ale moje pytanie jest, ja nie rozumiem, w jaki sposób czy to zapobiega atakom csrf w formacie json? Osoba atakująca może zawsze wysłać żądanie json do naszego punktu końcowego z ich strony. Ktoś ma wgląd w to? Nie mogłem znaleźć żadnej jasnej odpowiedzi na to pytanie.

Answer 1

co opisujesz jest bardzo łatwe do wykorzystania przy użyciu lampy błyskowej:

 var request:URLRequest = new URLRequest("http://stackoverflow.com"); 
     request.requestHeaders.push(new URLRequestHeader('Content-Type', 'application/json'));  
     request.data = unescape('{"a":1,"b":{"c":3}}'); 
     request.method = URLRequestMethod.POST; 
     navigateToURL(request, '_blank'); 

Jeśli spojrzeć na CSRF prevention cheat sheet można sprawdzić odsyłający do kierować się jej z domeny można zaufać. Jeśli referer jest pusty, może pochodzić z adresu URL https, więc należy go uznać za niepowodzenie. Poleganie na torze CSRF Ruby jest silniejszą formą ochrony CSRF.

Answer 2

Jest to poprawka dla AJAX

Get csrf_token z szyn lub za pomocą czegoś innego, z meta

// js file 
var csrf_token = $('meta[name=csrf-token]').attr('content'); 

lub

//js.erb file 
var csrf_token = "<%= request.session["<%= _csrf_token %>"] %>"; 

następnie dodać do js

$("body").bind("ajaxSend", function(elm, xhr, s){ 
    if (s.type == "POST") { 
    // place lines mentioned above here 
    // line goes here... 
    xhr.setRequestHeader('X-CSRF-Token', csrf_token); 
    } 
});