Rails CSRF令牌 - 它们会过期吗？ - 腾讯云开发者社区

文章/答案/技术大牛

发布

1回答

Rails CSRF令牌-它们会过期吗？

ruby-on-rails、ruby-on-rails-3

我注意到，如果你发布了一个无效的CSRF令牌，rails/devise会自动把你注销。这就是为什么我想知道，Rails CSRF令牌会过期吗？有时间设定的地方吗？谢谢

浏览 0提问于2011-10-13得票数 25

回答已采纳

2回答

即使设置了标头，也无法验证CSRF令牌的真实性Rails 4 Ajax

javascript、ruby-on-rails、ajax、ruby-on-rails-4、csrf

在我的请求方法中，我使用csrf令牌设置一个标题，如下所示：提前感谢！在对marflar的回答的注释中进行讨论

浏览 2提问于2014-10-18得票数 7

1回答

rails应用程序中的随机ActionController::InvalidAuthenticityToken

ruby-on-rails、csrf

在我使用ActionController::InvalidAuthenticityToken的应用程序上有随机的CSRF错误。比如，每100个请求中就有一个或更多。为什么这些错误会像这样随机出现？我在一些常规的<%= form_with %>标签上得到了它们，一些在javascript post上(但它在大多数时候都有效，因为我每次都把meta[name='csrf-token']添加为X-CSRF-TOKEN

浏览 36提问于2019-07-04得票数 2

2回答

Rails 3 protect_from_forgery不能正常工作？

ruby-on-rails、csrf、protect-from-forgery

我使用的是Rails 3.0.2，它在application_controller.rb中默认有protect_from_forgery。

浏览 4提问于2011-05-23得票数 5

回答已采纳

1回答

Laravel CSRF到期时间

laravel

我不希望CSRF令牌在会话到期之前过期，所以我的问题是，如果我增加config/session.php中的字段'lifetime' => 120，是否也会增加CSRF令牌过期以匹配该值所需的时间。这一点特别重要，因为我希望SPA的会话在24小时后过期，因此'lifetime' => 1440，但我不希望CSRF令牌在2小时后过期。

浏览 3提问于2018-07-31得票数 3

2回答

ASP.NET MVC CSRF防伪令牌过期了吗？

c#、asp.net-mvc、asp.net-web-api、asp.net-mvc-5、csrf

我在我的ASP.NET MVC5应用程序中实现了CSRF防伪保护。特别是，我引用了Mike Wasson在上描述的方法来保护响应AJAX请求的控制器方法，例如在WebAPI控制器中。该方法使用方法生成基于用户的密码学防伪令牌，然后使用验证提交的令牌是否属于当前用户。我的问题是:这些令牌是否有生存时间？它们会过期吗?如果是，它们的有效期是多久？我不想在我的系统中允许未过期的令牌。此外，我想要与客户端

浏览 0提问于2015-01-14得票数 16

5回答

合法用户如何在Rails中提交无效的CSRF令牌？

ruby-on-rails、csrf

我的假设是，存储在用户会话cookie中的CSRF令牌在加载表单之后但在提交之前已经发生了更改。这会导致POSTed令牌与cookie中的令牌不匹配，从而导致此错误。如果Rails会话cookie仅在浏览会话结束时(即当web浏览器关闭时)到期，那么在不关闭浏览器的情况下，如何更改此cookie (及其包含的CSRF令牌)？我们使用cookie来存储会话数据，这是Rails的默认行为。

浏览 11提问于2017-01-05得票数 10

回答已采纳

3回答

安全地使用带有CSRF保护和刷新令牌的JWT

authentication、cookies、csrf、jwt

它们首先进行签名，然后使用何塞-杰沃特加密。签名算法为HS256，加密为DIR。它们包括用户ID、过期exp声明和其他几个自定义声明。JWT在30分钟内到期，JWT cookie在7天内到期。登录时发送并存储在localStorage中的CSRF令牌JWT中的头CSRF令牌与CSRF令牌的比较由于JWT在30分钟内到期，因此有必要

浏览 0提问于2016-08-12得票数 14

2回答

有人能从Rails安全指南中向我解释这一段吗？

ruby-on-rails、ruby-on-rails-3、security、ember.js、csrf

见此处：我真的希望有人能向我解释，如果我将整个会话存储在cookie中，服务器端的秘密是不需要的。我之所以问这个问题，是因为我试图找出在100%客户端应用程序(ember.js)中是否有一种方法来生成CSRF令牌，其中我不会让Rails在所有表单上插入CSRF<

浏览 2提问于2013-05-29得票数 1

3回答

多个有效CSRF令牌的优点

web-application、csrf

据我所知，执行CSRF保护的方法有两种：2)每个请求的CSRF令牌--每个请求都生成新的令牌，而旧的令牌变得无效。几天前，我开始分析Node.js连接框架如何实现CSRF保护并注意到它使用了第三种方法：每个请求都会生成新的CSRF令牌，但旧的不会变成invalid__。因此，用户同时有多个有效的CSRF<em

浏览 0提问于2014-02-09得票数 5

回答已采纳

2回答

如何在Rails中处理带有过时CSRF身份验证令牌的页面

ruby-on-rails、session、csrf

在我们的Rails应用程序中，用户一次打开多个浏览器选项卡几个小时或几天是很常见的。当在其中一个选项卡中，用户注销然后重新登录(或者会话到期并创建新会话)时，就会出现问题。这会导致所有其他选项卡上的CSRF身份验证令牌无效。如果他们试图在不刷新的情况下提交任何表单或在这些选项卡上发出任何ajax请求，他们将得到一个错误(实际上会被注销，因为这是传递不正确的身份验证令牌时的默认Rails行为)。这种行为显然是不可取的。我想知道人们如何优雅地处理这样的情况，即用户打开了您的网站的窗口，但真实性令牌<

浏览 0提问于2012-05-05得票数 7

回答已采纳

3回答

使用AJAX在rails上加载CSRF令牌

javascript、ruby-on-rails、ajax、ruby-on-rails-3、csrf

我已经决定只用一个页面加载来实现我的Rails站点，并通过AJAX完成所有其他工作。问题是，在meta中生成的CSRF令牌一旦用于提交注册或签到表单，就会失效。

浏览 0提问于2012-05-22得票数 4

1回答

Rails CSRF到期时间

ruby-on-rails、ruby、ruby-on-rails-5

我有一个问题，一些用户在我的网站上闲置了一段时间，在提交post请求时收到CSRF错误。我不想禁用Rails中的安全特性，因为它很重要，所以我想显示一个页面超时警告。但是，我在任何地方都找不到authenticity_token的Rails默认超时。有人能给我指个方向吗？当我查看我的站点的cookie时，Chrome显示当browsing session ends过期时，会话cookie会过期。如果是这种情况，我得到CSRF错误的原因

浏览 0提问于2018-05-11得票数 0

1回答

如何使用Next.js和Rails后端安全地存储JWT？

javascript、ruby-on-rails、authentication、jwt、next.js

我正试图在Next.js前端和Rails API后端之间实现auth，并且我很难理解如何正确地安全地实现这一点。我在rails端使用 gem，在登录时返回一个access_token、一个refresh_token和一个csrf令牌。csrf只能通过报头发送，对于所有非GET或HEAD请求都是必需的。将CSRF保存在localStorage中，但是服务器设置的httpOnly cookie中的其他令牌。我甚至不能手动发送它们，因为我在JS中看不到<em

浏览 2提问于2019-09-11得票数 11

1回答

Rails会话在删除请求时被销毁。

ruby-on-rails、devise、logout、http-delete

0400 Parameters: {"id"=>"2538"} WARNING: Can't verify CSRF

浏览 4提问于2012-06-26得票数 3

回答已采纳

1回答

在rails中如何改变CSRF令牌的逻辑是有用的和可能的？

ruby-on-rails、csrf

我想知道的是，rails中的CSRF是如何构建的，我能影响它吗？(我发现的唯一问题是‘如何在ajax中使用，而不是重用，如何实现静态的.’) 我有一个很好的方法，但我不想当然是我的解决方案。

浏览 2提问于2013-12-17得票数 0

回答已采纳

1回答

Form remote: true authenticity_token消失

ruby-on-rails、authenticity-token

authenticity_token被缓存是一个问题吗？谢谢

浏览 8提问于2019-10-31得票数 0

4回答

单页应用与CSRF令牌

javascript、ruby-on-rails、reactjs、session、csrf

我需要使用一个单一的页面应用程序(反应，Ember，角，我不在乎)与Rails CSRF保护机制。:set_csrf_cookie cookies["X-CSRF-Token"] = form_authenticity_token或我可以只创建一个令牌一次。我认为在会话有效之前，令牌仍然有效，对吗？每次浏览页面时，我都会看到Rails

浏览 0提问于2018-05-03得票数 14

2回答

拒绝无效的CSRF令牌后该怎么办？

csrf

我正在实现CSRF保护(使用Symfony的CSRF库)，并且我想知道在接收到无效令牌时应该向客户发送什么响应。目前，我们有一个持续30天的会话，我们希望CSRF令牌在12小时后到期(我正在跟踪后端的过期时间，而不是cookie)。因此，有一种可能性，即用户可能会让页面整天打开，并尝试提交表单。我在JIRA中看到了这种情况，当我在打开页面一天后返回我的计算机时，他们的会话也会持续很长时间，但是CSRF令牌只持续一天左

浏览 0提问于2018-03-22得票数 2

回答已采纳

2回答

由于生产中不活动，该页已过期。

php、laravel、nginx、load-balancing

在开发过程中，我没有这类问题，但是在推动生产之后，继续收到错误消息“页面由于不活动而过期”。但这似乎没什么用现在的快速修复是关闭其中一个应用程序服务器，但这两个服务器的运行都会导致页面过期错误

浏览 6提问于2017-12-04得票数 0

点击加载更多