Rails POST路由InvalidAuthenticityToken错误原因及验证逻辑咨询

嘿，这个情况其实是Rails CSRF保护机制的细节在作祟，我来帮你逐个解释清楚：

1. 为什么Postman调用会报错？ #

Rails的protect_from_forgery with: :exception会对所有非GET/HEAD/OPTIONS的请求强制验证CSRF令牌，但它对同源AJAX请求和外部工具（比如Postman）发起的请求处理逻辑完全不同：

• 当你在Rails页面内通过AJAX发起请求时，Rails内置的rails-ujs会自动从页面的<meta name="csrf-token">标签中抓取正确的令牌，然后以X-CSRF-Token请求头的形式发送给服务器——哪怕你手动把表单数据里的authenticity_token设为空，这个请求头依然会被自动带上，服务器能通过这个头里的令牌验证请求合法性。
• 但Postman是独立的外部工具，它不会自动获取Rails页面的CSRF令牌，也不会自动添加X-CSRF-Token请求头。如果你既没有在请求参数里传入正确的authenticity_token，也没在请求头里设置对应的令牌，服务器就会判定这是一个跨站伪造请求，直接抛出InvalidAuthenticityToken错误。

2. 第一种场景下Rails应用如何验证POST请求合法性？ #

在你页面AJAX请求的场景里，Rails的验证逻辑是这样的：

• 首先，Rails会识别到这是XMLHttpRequest（AJAX请求），此时它会优先读取X-CSRF-Token请求头里的令牌值。
• 这个令牌值是rails-ujs自动注入的，来自你页面里默认生成的<meta name="csrf-token" content="真实令牌值">标签——这个标签里的令牌和服务器session中存储的CSRF令牌是完全匹配的。
• 服务器拿到请求头里的令牌后，会和session中存储的令牌做对比，只要匹配就通过验证，允许创建资源。
• 你手动设置的data["authenticity_token"] = ""其实被忽略了，因为Rails在处理AJAX请求时，优先采信请求头里的令牌，而不是表单参数里的空值。

简单来说，不是表单参数里的空令牌通过了验证，而是浏览器自动带上的请求头令牌帮你完成了合法验证~

内容的提问来源于stack exchange，提问作者Anand Hegde