Rails 6.1应用反复出现859: unexpected token异常求助

1. 如何深入了解859: unexpected token错误？ #

• 检查请求头与参数格式的匹配性：Rails会根据请求的Content-Type头选择参数解析方式，如果攻击者将Content-Type设为application/json，但实际提交的是application/x-www-form-urlencoded格式的表单参数，JSON解析器就会因无法识别表单格式字符抛出该错误。可以查看服务器日志中对应请求的Content-Type字段，确认是否存在格式不匹配的情况。
• 提取完整请求信息分析：从日志中获取触发错误的完整原始请求内容，包括HTTP方法、所有请求头、完整编码的参数。重点检查参数是否存在未正确URL编码的特殊字符，或参数被截断的情况——859是解析器标记的错误字符位置，对应你提供的参数，可重点排查g-recaptcha-response字段附近内容。
• 本地复现验证：用curl构造请求模拟攻击场景，比如强制设置错误的Content-Type头并传入出错的参数，看是否能复现相同错误：

  curl -X POST http://你的应用域名/regdevs \
    -H "Content-Type: application/json" \
    -d 'utf8=%E2%9C%93&authenticity_token=fnrg63qtelQvkQx9NQx8SaZIp7mR500toEiWdaJe91%2FOzsEvRbGD4Ow6NNADCtjw7H3EkDvFZVGP4gQkGZceEw%3D%3D&user%5Bemail%5D=jrmills91%40hotmail.com&user%5Bfirst_name%5D=wJAhzNnPWbqMdfH&user%5Blast_name%5D=tKdpIVXJlneZbiuA&user%5Bnickname%5D=lBdbyYgiaHt&user%5Bpassword%5D=0SgLpVuf5Wqs%21&user%5Bpassword_confirmation%5D=0SgLpVuf5Wqs%21&user%5Bterms_of_service%5D=1&commit=Complete+registration&g-recaptcha-response=dzghTWcBpmI'
  

• 查看Rails底层逻辑：该错误来自ActionDispatch::Http::Parameters的参数解析流程，本质是Rails调用JSON解析库（如Oj或标准JSON库）时，因输入不符合JSON规范抛出的解析失败，859是解析库标记的错误位置。

2. 是否需要对此担忧？ #

• 无需过度紧张，但要做好基础确认和优化：
  • 确认reCAPTCHA生效：你提到攻击请求未成功创建账户，说明reCAPTCHA已拦截恶意请求，这些异常只是攻击请求在参数解析阶段就失败的表现，并非验证被绕过。
  • 异常本身无直接风险：参数解析错误只是Rails无法处理格式不符的请求，不会导致代码执行、数据泄露等安全问题，攻击者的请求连参数解析环节都未通过，无法触达后续注册逻辑。
  • 减少日志噪音：如果大量异常日志影响日常排查，可在应用层捕获该错误，直接返回400响应，避免生成冗余日志。比如在application_controller.rb中添加：

    rescue_from ActionDispatch::Http::Parameters::ParseError, with: :handle_parse_error
    
    private
    
    def handle_parse_error
      head :bad_request
    end
    

  • 增强防护：可额外添加请求校验逻辑，比如检查Content-Type与参数格式是否匹配，对不匹配的请求直接拒绝；或使用Web应用防火墙（WAF）拦截带有随机生成用户名、邮箱特征的批量请求，从源头减少这类攻击请求。

内容的提问来源于stack exchange，提问作者Giuseppe