真实性令牌是rails防止“跨站请求伪造(CSRF或XSRF)攻击”的方法。

简单地说，它确保对web应用程序的put / POST / DELETE(可以修改内容的方法)请求是由客户端浏览器发出的，而不是来自第三方(攻击者)，后者有权访问在客户端创建的cookie。

Beware the Authenticity Token mechanism can result in race conditions if you have multiple, concurrent requests from the same client. In this situation your server can generate multiple authenticity tokens when there should only be one, and the client receiving the earlier token in a form will fail on it's next request because the session cookie token has been overwritten. There is a write up on this problem and a not entirely trivial solution here: http://www.paulbutcher.com/2007/05/race-conditions-in-rails-sessions-and-how-to-fix-them/

真实性令牌的设计使您知道您的表单是从您的网站提交的。它是由运行它的机器生成的，具有唯一的标识符，只有您的机器知道，因此有助于防止跨站请求伪造攻击。

如果您只是在rails拒绝AJAX脚本访问方面遇到困难，那么您可以使用

<%= form_authenticity_token %>

在创建表单时生成正确的令牌。

您可以在文档中阅读更多关于它的信息。

什么是CSRF?

真实性令牌是一种对抗跨站请求伪造(CSRF)的对策。你会问，什么是CSRF ?

这是一种攻击者可能在不知道会话令牌的情况下劫持会话的方式。

场景:

Visit your bank's site, log in. Then visit the attacker's site (e.g. sponsored ad from an untrusted organization). Attacker's page includes form with same fields as the bank's "Transfer Funds" form. Attacker knows your account info, and has pre-filled form fields to transfer money from your account to attacker's account. Attacker's page includes Javascript that submits form to your bank. When form gets submitted, browser includes your cookies for the bank site, including the session token. Bank transfers money to attacker's account. The form can be in an iframe that is invisible, so you never know the attack occurred. This is called Cross-Site Request Forgery (CSRF).

CSRF的解决方案:

服务器可以标记来自服务器本身的表单 每个表单必须包含一个额外的身份验证令牌作为隐藏字段。 令牌必须是不可预测的(攻击者猜不到它)。 服务器在其页面中的表单中提供有效的令牌。 服务器在表单发布时检查令牌，拒绝没有适当令牌的表单。 示例令牌:使用服务器密钥加密的会话标识符。 Rails自动生成这样的令牌:请参阅每个表单中的authenticity_token输入字段。

可以阻止的最小攻击示例:CSRF

在我的网站上邪恶。我说服你提交以下表格:

<form action="http://bank.com/transfer" method="post">
  <p><input type="hidden" name="to"      value="ciro"></p>
  <p><input type="hidden" name="ammount" value="100"></p>
  <p><button type="submit">CLICK TO GET PRIZE!!!</button></p>
</form>

如果您通过会话cookie登录到您的银行，那么cookie将被发送，并且在您甚至不知道的情况下进行转账。

也就是说，CSRF令牌开始发挥作用:

使用返回表单的GET响应，Rails发送一个非常长的随机隐藏参数 当浏览器发出POST请求时，它会发送参数，服务器只接受匹配的参数

因此，在一个真实的浏览器上的表单看起来是这样的:

<form action="http://bank.com/transfer" method="post">
  <p><input type="hidden" name="authenticity_token" value="j/DcoJ2VZvr7vdf8CHKsvjdlDbmiizaOb5B8DMALg6s=" ></p>
  <p><input type="hidden" name="to"                 value="ciro"></p>
  <p><input type="hidden" name="ammount"            value="100"></p>
  <p><button type="submit">Send 100$ to Ciro.</button></p>
</form>

因此，我的攻击会失败，因为它没有发送authenticity_token参数，而且我不可能猜到它，因为它是一个巨大的随机数。

这种预防技术称为同步器令牌模式。

同源策略

但是，如果攻击者使用JavaScript发出两个请求，一个读取令牌，另一个进行转账，该怎么办?

仅使用同步器标记模式不足以防止这种情况!

这就是同源政策来拯救的地方，正如我在https://security.stackexchange.com/questions/8264/why-is-the-same-origin-policy-so-important/72569#72569上解释的那样

Rails如何发送令牌

涵盖:Rails: csrf_meta_tag如何工作?

基本上:

如果表单不是GET表单，像form_tag这样的HTML助手会为您添加一个隐藏字段 AJAX由jquery-ujs自动处理，它从csrf_meta_tags(在默认模板中)添加到头部的元元素中读取令牌，并将其添加到任何发出的请求中。 uJS还尝试在过期的缓存片段中更新表单中的令牌。

其他预防方法

check if certain headers is present e.g. X-Requested-With: What's the point of the X-Requested-With header? https://security.stackexchange.com/questions/23371/csrf-protection-with-custom-headers-and-without-validating-token Is an X-Requested-With header server check sufficient to protect against a CSRF for an ajax-driven application? check the value of the Origin header: https://security.stackexchange.com/questions/91165/why-is-the-synchronizer-token-pattern-preferred-over-the-origin-header-check-to re-authentication: ask user for password again. This should be done for every critical operation (bank login and money transfers, password changes in most websites), in case your site ever gets XSSed. The downside is that the user has to type the password multiple times, which is tiresome, and increases the chances of keylogging / shoulder surfing.

因为真实性令牌是如此重要，在Rails 3.0+你可以使用

 <%= token_tag nil %>

创建

<input name="authenticity_token" type="hidden" value="token_value">

在任何地方