如果你使用javascript和jQuery在你的表单中生成令牌，这是有效的:

<input name="authenticity_token" 
       type="hidden" 
       value="<%= $('meta[name=csrf-token]').attr('content') %>" />

显然，您需要在Ruby布局中使用<%= csrf_meta_tag %>。

哎呀. .

我在我的application.js中漏掉了下面一行

//= require jquery_ujs

我把它换了，它还在工作。

=======更新=========

5年后，我又犯了同样的错误，现在我有了全新的Rails 5.1.6，我又找到了这篇文章。就像生命的循环。

现在的问题是 Rails 5.1默认删除了对jquery和jquery_ujs的支持

//= require rails-ujs in application.js

它做以下事情:

各种操作的强制确认对话框; 从超链接发出非get请求; 使用Ajax使表单或超链接异步提交数据; 在表单提交时自动禁用提交按钮，以防止双击。 (来自https://github.com/rails/rails-ujs/tree/master):

但为什么它不包括csrf令牌ajax请求?如果有人知道这个细节，请评论我。我很感激。

无论如何，我在我的自定义js文件中添加了以下内容以使其工作(感谢其他帮助我实现此代码的答案):

$( document ).ready(function() {
  $.ajaxSetup({
    headers: {
      'X-CSRF-Token': Rails.csrfToken()
    }
  });
  ----
  ----
});

你应该这样做:

确保在布局中有<%= csrf_meta_tag %> 添加beforeSend到所有ajax请求来设置头部，如下所示:

$.ajax({ url: 'YOUR URL HERE',
  type: 'POST',
  beforeSend: function(xhr) {xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))},
  data: 'someData=' + someData,
  success: function(response) {
    $('#someDiv').html(response);
  }
});

在所有请求中发送令牌，您可以使用:

$.ajaxSetup({
  headers: {
    'X-CSRF-Token': $('meta[name="csrf-token"]').attr('content')
  }
});

如果你没有使用jQuery，而是使用类似于获取API的请求，你可以使用下面的方法来获取csrf-token:

文档。querySelector(“元[name =“csrf-token”]”)。getAttribute(“内容”)

fetch('/users', {
  method: 'POST',
  headers: {
    'Accept': 'application/json',
    'Content-Type': 'application/json',
    'X-CSRF-Token': document.querySelector('meta[name="csrf-token"]').getAttribute('content')},
    credentials: 'same-origin',
    body: JSON.stringify( { id: 1, name: 'some user' } )
    })
    .then(function(data) {
      console.log('request succeeded with JSON response', data)
    }).catch(function(error) {
      console.log('request failed', error)
    })

我只是想把这个链接到这里，因为这篇文章有你想要的大部分答案，而且它也非常有趣

http://www.kalzumeus.com/2011/11/17/i-saw-an-extremely-subtle-bug-today-and-i-just-have-to-tell-someone/

如果你使用javascript和jQuery在你的表单中生成令牌，这是有效的:

<input name="authenticity_token" 
       type="hidden" 
       value="<%= $('meta[name=csrf-token]').attr('content') %>" />

显然，您需要在Ruby布局中使用<%= csrf_meta_tag %>。