Rails的protect_from_forgery真的有用嗎？

Question

我在問這是因爲我覺得當我開始使用ajax或flash來與rails進行通信時，會讓我的生活過於複雜。

我知道防止CSRF是很好的，但是我不能僅僅檢查referer什麼的呢？

Answer 1

許多用戶停用其引薦者，大多數情況下不會選擇。
但是，因爲他們在阻止它的防火牆後面。

使用防僞技術是保護您免受CSRF攻擊的唯一解決方案。
但是你可以停用任何你想要的動作。

在您的控制器，您可以添加：

skip_before_filter :verify_authenticity_token, :only => :create 

這將取消激活了在您添加過濾器的控制器創建操作令牌驗證。