能否在GET请求上开启Rails内置的CSRF保护？

Rails默认仅对POST、PUT、PATCH、DELETE等非幂等请求校验CSRF token，GET、HEAD等幂等请求默认豁免校验。如果需要为特定GET场景启用CSRF保护，可通过以下两种方式实现：

方案1：为指定接口添加单独的CSRF校验前置过滤器 #

在对应控制器中添加自定义前置动作，强制调用Rails原生的CSRF校验逻辑，适合仅少数接口需要开启的场景：

class YourSpecialController < ApplicationController
  # 仅对指定的GET动作启用CSRF校验，可根据需求调整only参数的动作列表
  before_action :verify_authenticity_token, only: [:your_get_action]

  # 你的接口逻辑
  def your_get_action
    # 业务代码
  end
end

如果需要全局生效，可将before_action :verify_authenticity_token直接放在ApplicationController中，按需添加限制条件即可。

方案2：重写CSRF校验触发规则 #

重写Rails原生的CSRF校验判断方法，适合有复杂判断逻辑的场景，比如针对特定路径前缀的所有GET请求启用校验：

class ApplicationController < ActionController::Base
  # 重写是否需要校验CSRF的判断逻辑
  def should_verify_authenticity_token?
    # 示例：所有请求都校验CSRF，可自行调整判断条件
    return true
    # 更灵活的示例：仅对路径前缀为/sensitive的GET请求启用校验，其余请求遵循默认规则
    # request.path.start_with?('/sensitive') || super
  end
end

注意事项 #

• 启用GET请求CSRF校验后，对应请求需要携带合法的CSRF token，可放在X-CSRF-Token请求头中（推荐），也可以放在authenticity_tokenGET参数中。
• 不建议将CSRF token放在GET参数中，参数会被记录到URL、访问日志中，存在泄露风险。
• 谨慎全局开启所有GET请求的CSRF校验，会破坏HTTP幂等请求约定，导致书签访问、第三方跳转等场景直接触发校验失败错误。

内容的提问来源于stack exchange，提问作者user1131308