Ruby on Rails联系表单未登录无法提交 疑似CSRF配置问题求助

根因分析 #

你遇到的登录可提交、未登录提交失败的问题，确实和CSRF验证逻辑直接相关：

• Rails默认开启全局CSRF校验，校验通过的前提是当前用户有活跃的session，服务端存储的CSRF token和请求带的token匹配
• 登录状态下用户有正常的活跃session，页面meta标签里的csrf-token是有效值，请求携带后校验通过
• 未登录状态下如果没有主动初始化session，Rails不会生成有效CSRF token，页面meta的csrf-token为空/无效，请求携带后校验失败，默认返回422状态码，触发请求异常

验证方法 #

你可以先修改前端AJAX的错误回调，打印具体的错误信息确认：

error: function(result){
  // 打印状态码和返回内容，如果状态码是422即可确认是CSRF验证失败
  console.log('请求状态码：', result.status, '返回内容：', result.responseText);
  alert('Error');
}

解决方案 #

有两种可行方案，可根据业务安全需求选择：

方案1：跳过当前接口的CSRF校验（适合公开提交类接口） #

因为联系表单是面向所有用户开放的公开接口，可以单独关闭该动作的CSRF校验，修改控制器代码即可：

Class ContactUsController < ApplicationController
  # 新增这一行，仅跳过create动作的CSRF校验
  skip_before_action :verify_authenticity_token, only: [:create]

  def create
    # 原有逻辑保持不变
    contact = Contact.new

    contact.fname = params[:fname]
    contact.lname = params[:lname]
    contact.email = params[:email]
    contact.message = params[:message]

    if contact.save
      render json: { message: "Contact us successfully sent", data: contact }, status: 200
    else
      json_data = { message: "Something went wrong! Please try again later", error: "ContactValidSaveError" }
      render json: json_data, status: 500
    end
  end
end

方案2：强制未登录状态下生成CSRF token #

如果需要保留CSRF校验能力，可以在渲染联系表单页面的控制器动作中，主动初始化session，让Rails生成有效CSRF token插入到页面meta标签中：

# 假设渲染联系表单的动作是new
def new
  # 新增这一行，强制初始化session，生成CSRF token
  session[:init] = true
  # 原有逻辑保持不变
end

修改后未登录状态下页面meta的csrf-token会有有效值，请求携带后即可通过校验。

内容的提问来源于stack exchange，提问作者rjsnavarette