如何确保 Rails API 免受 CSRF 的保护？

我一直在使用 REST API 开发 Rails 应用程序，以便从移动应用程序进行访问。

它运作得很好。当用户从移动应用程序登录时，他会得到auth_token他在将来的 API 请求中使用它。问题是 API 也可以通过路径 /api/v1/... 从 Web 访问，因此，必须保护它免受 CSRF 的影响。

I have BaseApiController继承自的类ApplicationController具有protect_from_forgery“启用”。这是例子：

class Api::V1::BaseApiController < ApplicationController
  # ...
end

class ApplicationController < ActionController::Base
  protect_from_forgery
  # ...
end

现在，当我向 API 发出非 GET 请求时，auth_token，我的请求成功完成，但在日志中我可以看到著名的WARNING: Can't verify CSRF token authenticity。如果我删除protect_from_forgery从我的BaseApiController，我没有收到任何警告（显然），但是我的 API 很容易受到 CSRF 攻击（我制作了一个简单的 HTML 表单，可以在没有任何情况下成功地跨域更改数据）protect_from_forgery).

我的问题是：如何确保我的 API 保持安全，同时在执行非 GET 请求时删除警告？

这是我提出的解决方案之一，但它看起来更像是一种黑客并执行一个额外的数据库查询：

class Api::V1::BaseApiController < ApplicationController
  # ...
  def verified_request?
    super || User.where(authentication_token: params['auth_token']).count > 0
  end
end

有关该项目的更多详细信息：Rails 3.2.14、Devise、AngularJS。可以找到该项目的源代码here.

您可能会看到人们认为 CSRF 不是 API 请求的问题（一开始就没有状态，那么有什么可以劫持的呢？），因此有些人建议采用以下方法来简单地消除警告：

skip_before_filter :verify_authenticity_token, :only => [:your_method]

然而，有一些评论称可以使用以下方式提交 CSRF：text/plain使用各种基于 Flash 和 Java 的方法。我相信这就是不久前在 Rails 中发布安全补丁的原因：http://weblog.rubyonrails.org/2011/2/8/csrf-protection-bypass-in-ruby-on-rails/

无论如何，可以在这里找到实际检查真实性令牌的良好解决方案：警告：无法验证 CSRF 令牌真实性

它涉及实际设置请求中的标头。

祝你好运！