Rails API update端点重定向触发InvalidAuthenticityToken错误如何解决

问题原因分析 #

• CSRF校验拦截：Rails默认开启跨站请求伪造校验，所有非GET的表单/API请求都要求携带authenticity_token参数，第三方合作伙伴通过iframe发起的PUT请求不会携带你站点的CSRF令牌，因此直接触发InvalidAuthenticityToken错误，请求直接被拦截，根本不会执行到你写的重定向逻辑。
• 重定向状态码错误：就算跳过CSRF校验，默认的redirect_to返回302状态码，浏览器会沿用之前的PUT请求方法请求重定向地址，而订单详情页只接受GET请求，会直接返回404/405错误，导致重定向失败。

符合Rails规范的解决方案 #

第一步：跳过API控制器的CSRF校验 #

在你的Api::BaseController中添加跳过CSRF校验的逻辑，API接口默认不需要CSRF校验：

class Api::BaseController < ApplicationController
  # 全局关闭API模块的CSRF校验
  skip_before_action :verify_authenticity_token
end

注意：如果你的API接口有身份校验逻辑（比如Token校验），请确保在跳过CSRF的同时做好身份鉴权，避免未授权访问。

第二步：修正重定向逻辑，使用303状态码 #

修改update动作的重定向代码，指定:see_other（对应303状态码），明确告诉浏览器用GET方法请求重定向地址，同时使用Rails路由助手方法代替硬编码URL，更符合开发规范：

def update 
  if params[:status] == "success"
    # 原业务逻辑优化：update_attributes+save!可直接合并为update!，内部已包含保存和异常抛出逻辑
    @line_item.update!(line_item_params)
    @line_item.order.update!(state: "complete", completed_at: Time.now, payment_state: 'paid')
    # 修正后的重定向逻辑
    redirect_to order_path(@line_item.order), status: :see_other
  else
    render json: { message: "Uh Oh, there was a problem" }, status: 400
  end
end

可选：iframe场景特殊优化 #

如果你的重定向需要跳出iframe到父级页面，不要后端返回重定向，改为返回JSON格式的跳转地址，由前端侧执行父页面跳转，避免跨域iframe重定向限制：

def update 
  if params[:status] == "success"
    @line_item.update!(line_item_params)
    @line_item.order.update!(state: "complete", completed_at: Time.now, payment_state: 'paid')
    # 返回跳转地址给前端
    render json: { redirect_url: order_path(@line_item.order) }, status: 200
  else
    render json: { message: "Uh Oh, there was a problem" }, status: 400
  end
end

第三方合作伙伴前端接收响应后，执行top.location.href = 响应里的redirect_url即可完成跳转。

内容的提问来源于stack exchange，提问作者Alex