RailsのCSRF対策の仕組みについて - （2015年までの）odaillyjp blog
先日、Rails で開発しているときに意図しない InvalidAuthenticityToken エラーが発生して、すごくハマってしまいました。そのときに Rails のCSRF対策の仕組みについて調べてみましたので、ブログに残しておきます。 Rails のCSRF対策 Rails が生成した ApplicationController には以下の記述があります。 class ApplicationController < ActionController::Base # Prevent CSRF attacks by raising an exception. # For APIs, you may want to use :null_session instead. protect_from_forgery with: :exception end protect_from_forg
クロスサイトスクリプティング(XSS)とCSRFの違い早分かり - ockeghem(徳丸浩)の日記
昨日の日記で、DK祭りで使われている脆弱性がXSSかCSRFかという問題になった。どうも、XSSとCSRFがごっちゃになっている人もいるように見受けるので、簡単な整理を試みたい。 XSSとCSRFには似た点がある。 どちらも「クロスサイト」という言葉が先頭につく なりすましのようなことが結果としてできる どちらも受動型攻撃である それに対して、もちろん違う点もある。専門家から見れば「似てるも何も、そもそも全然違うものですよ」となるのだろうが、現に混同している人がいるのだから紛らわしい点もあるのだろう。 私思うに、XSSとCSRFの決定的な違いは、以下の点ではないだろうか。 XSSは攻撃スクリプトがブラウザ上で動くが、CSRFはサーバー上で動く このため、XSSでできる悪いことは、すなわちJavaScriptでできることであって、攻撃対象のCookieを盗み出すことが典型例となる。一方、CS
ActionController::InvalidAuthenticityToken | zilog
Railsでformメソッドを使わずにPOSTなど、GET以外でデータを送信すると ActionController::InvalidAuthenticityToken というエラー（HTTPステータスコード422）が返されることがあります これはRails標準のCSRF対策で、GET以外のデータ受信時にサーバ側で生成されるトークンが要求されるために起こります formメソッドを使えば自動的にトークンを生成して埋め込んでくれますので普通は遭遇しないのですが… 今回自分はGreasemonkeyScriptからxmlhttpRequestでPOSTして嵌りました 今回は外部から利用してもらうこと（APIのつもり）が前提なのでそのメソッドだけ skip_before_filter :verify_authenticity_token ,:only=>[:action_name] をコントロ
201 blog Created [Rails]authenticity_tokenを外す方法。
自分がハマったのでメモ程度に。 そもそもauthenticity_tokenとはなにかというと、 CSRF(Cross-Site Request Forgeries)を防止する目的で設置されたものです。 GET以外のメソッドでリクエストがあった場合(POST、PUT、DELETE)に、 セッションに格納されたauthenticity_tokenと渡されたパラメータを比較して同じ値であれば通すという代物。 しかしこれが厄介。 例えば別サイトにフォームからPOSTした後に、そのサイトから再びPOSTされて戻ってくる場合。 特になにもしなければInvalidAuthenticityTokenというエラーが出るでしょう。 これは「渡ってきた値が違うよ！よ！」言うてます。 でもauthenticity_tokenなんて設定した憶えがないし、viewに表示されてないじゃん。 ソースを見てみると、フォー
CSRFについて - おもしろwebサービス開発日記
protect_from_forgery?? railsのApplicationControllerに protect_from_forgeryという一文があり、よくわからないので調べてみた。 Protect a controller‘s actions from CSRF attacks by ensuring that all forms are coming from the current web application, not a forged link from another site. http://api.rubyonrails.org/ protect_from_forgeryメソッドは、CSRFという攻撃から身を守るためのメソッドらしい。 CSRFってなんだろう？ ということでwikipediaで調べた。 全部訳すのはめんどくさいので、例だけ簡単に意訳すると Bob
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Understanding Rails' protect_from_forgery
ActionController::InvalidAuthenticityTokenというエラーの回避方法（Ruby on Rails） - 雪見之蔵
