ruby-on-rails - Railsのアプリケーションコントローラーの「protect_from_forgery」

Question

Railsアプリケーションディレクトリのconfig/application_controller.rbファイルで、次のコードを見つけました。

class ApplicationController < ActionController::Base
  protect_from_forgery
end

project_from_forgery誰かがそれが何を意味し、なぜ使われているのか教えてもらえますか？

score 10 · Accepted Answer

csrfから保護します。たとえば、すべてのPOSTリクエストには特定のセキュリティトークンが必要です。

score 2 · Accepted Answer

これは、csrf攻撃を防ぐための機能が組み込まれたRailsです。

このリンクから詳細をご覧ください、

クロスサイトスクリプティング攻撃は、認証トークンをフォームフィールドに非表示フィールドとして追加することで防止されます。Postリクエストで、トークンがデータベースに保存されているトークンと照合されます。

score -1 · Accepted Answer

protect_from_forgery：クロスサイトリクエストフォージェリ（CSRF）攻撃から保護するRailsの機能。

この機能により、生成されたすべてのフォームに非表示idフィールドが作成されます。このidフィールドは保存されているものと一致する必要があります。一致しないid場合、フォームの送信は受け付けられません。

これにより、他のサイトの悪意のあるフォームやXSSで挿入されたフォームがRailsアプリケーションに送信されるのを防ぎます。

3 に答える 3