Lý do từ chối mã thông báo xác thực một cách tự nhiên trên trang web sản xuất

Ứng dụng Rails của tôi sẽ thỉnh thoảng kích hoạt ActionController :: InvalidAuthenticityToken. Nó xảy ra một cách tự nhiên mỗi tháng một lần hoặc lâu hơn. Vì tôi không nghĩ rằng có một số trang web khác đang cố gắng tấn công CSRF, tôi bắt đầu suy nghĩ về những sự kiện hiếm hoi này. Kết luận của tôi cho đến thời điểm này:Lý do từ chối mã thông báo xác thực một cách tự nhiên trên trang web sản xuất

Robot ngẫu nhiên?
Mọi người chờ đợi quá lâu để gửi biểu mẫu để nó hết hạn trên máy chủ?

Có lý do nào khác cho những từ chối tích cực sai như vậy không?

Và xin đừng giải thích những gì CSRF là ;-)

Dưới đây là một số bản ghi ...

F, [2016-12-06T16:03:59.050673 #15136] FATAL -- : 
ActionController::InvalidAuthenticityToken (ActionController::InvalidAuthenticityToken): 
    actionpack (4.2.7) lib/action_controller/metal/request_forgery_protection.rb:181:in `handle_unverified_request' 
    actionpack (4.2.7) lib/action_controller/metal/request_forgery_protection.rb:209:in `handle_unverified_request' 
    devise (4.2.0) lib/devise/controllers/helpers.rb:253:in `handle_unverified_request' 
    actionpack (4.2.7) lib/action_controller/metal/request_forgery_protection.rb:204:in `verify_authenticity_token' 
    activesupport (4.2.7) lib/active_support/callbacks.rb:432:in `block in make_lambda' 
    activesupport (4.2.7) lib/active_support/callbacks.rb:164:in `block in halting' 
    activesupport (4.2.7) lib/active_support/callbacks.rb:504:in `block in call' 
    activesupport (4.2.7) lib/active_support/callbacks.rb:504:in `each' 
    activesupport (4.2.7) lib/active_support/callbacks.rb:504:in `call' 
    activesupport (4.2.7) lib/active_support/callbacks.rb:92:in `__run_callbacks__' 
    activesupport (4.2.7) lib/active_support/callbacks.rb:778:in `_run_process_action_callbacks' 
    activesupport (4.2.7) lib/active_support/callbacks.rb:81:in `run_callbacks' 
    actionpack (4.2.7) lib/abstract_controller/callbacks.rb:19:in `process_action' 
    actionpack (4.2.7) lib/action_controller/metal/rescue.rb:29:in `process_action' 
    actionpack (4.2.7) lib/action_controller/metal/instrumentation.rb:32:in `block in process_action' 
    activesupport (4.2.7) lib/active_support/notifications.rb:164:in `block in instrument' 
    activesupport (4.2.7) lib/active_support/notifications/instrumenter.rb:20:in `instrument' 
    activesupport (4.2.7) lib/active_support/notifications.rb:164:in `instrument' 
    actionpack (4.2.7) lib/action_controller/metal/instrumentation.rb:30:in `process_action' 
    actionpack (4.2.7) lib/action_controller/metal/params_wrapper.rb:250:in `process_action' 
    actionpack (4.2.7) lib/abstract_controller/base.rb:137:in `process' 
    actionview (4.2.7) lib/action_view/rendering.rb:30:in `process' 
    actionpack (4.2.7) lib/action_controller/metal.rb:196:in `dispatch' 
    actionpack (4.2.7) lib/action_controller/metal/rack_delegation.rb:13:in `dispatch' 
    actionpack (4.2.7) lib/action_controller/metal.rb:237:in `block in action' 
    actionpack (4.2.7) lib/action_dispatch/routing/route_set.rb:74:in `dispatch' 
    actionpack (4.2.7) lib/action_dispatch/routing/route_set.rb:43:in `serve' 
    actionpack (4.2.7) lib/action_dispatch/routing/mapper.rb:49:in `serve' 
    actionpack (4.2.7) lib/action_dispatch/journey/router.rb:43:in `block in serve' 
    actionpack (4.2.7) lib/action_dispatch/journey/router.rb:30:in `each' 
    actionpack (4.2.7) lib/action_dispatch/journey/router.rb:30:in `serve' 
    actionpack (4.2.7) lib/action_dispatch/routing/route_set.rb:817:in `call' 
    turnout (2.3.1) lib/rack/turnout.rb:25:in `call' 
    omniauth (1.3.1) lib/omniauth/strategy.rb:186:in `call!' 
    omniauth (1.3.1) lib/omniauth/strategy.rb:164:in `call' 
    omniauth (1.3.1) lib/omniauth/strategy.rb:186:in `call!' 
    omniauth (1.3.1) lib/omniauth/strategy.rb:164:in `call' 
    rack-attack (4.4.1) lib/rack/attack.rb:107:in `call' 
    exception_notification (4.2.1) lib/exception_notification/rack.rb:32:in `call' 
    warden (1.2.6) lib/warden/manager.rb:35:in `block in call' 
    warden (1.2.6) lib/warden/manager.rb:34:in `catch' 
    warden (1.2.6) lib/warden/manager.rb:34:in `call' 
    rack (1.6.4) lib/rack/etag.rb:24:in `call' 
    rack (1.6.4) lib/rack/conditionalget.rb:38:in `call' 
    rack (1.6.4) lib/rack/head.rb:13:in `call' 
    actionpack (4.2.7) lib/action_dispatch/middleware/params_parser.rb:27:in `call' 
    actionpack (4.2.7) lib/action_dispatch/middleware/flash.rb:260:in `call' 
    rack (1.6.4) lib/rack/session/abstract/id.rb:225:in `context' 
    rack (1.6.4) lib/rack/session/abstract/id.rb:220:in `call' 
    actionpack (4.2.7) lib/action_dispatch/middleware/cookies.rb:560:in `call' 
    actionpack (4.2.7) lib/action_dispatch/middleware/callbacks.rb:29:in `block in call' 
    activesupport (4.2.7) lib/active_support/callbacks.rb:88:in `__run_callbacks__' 
    activesupport (4.2.7) lib/active_support/callbacks.rb:778:in `_run_call_callbacks' 
    activesupport (4.2.7) lib/active_support/callbacks.rb:81:in `run_callbacks' 
    actionpack (4.2.7) lib/action_dispatch/middleware/callbacks.rb:27:in `call' 
    actionpack (4.2.7) lib/action_dispatch/middleware/remote_ip.rb:78:in `call' 
    actionpack (4.2.7) lib/action_dispatch/middleware/debug_exceptions.rb:17:in `call' 
    actionpack (4.2.7) lib/action_dispatch/middleware/show_exceptions.rb:30:in `call' 
    railties (4.2.7) lib/rails/rack/logger.rb:38:in `call_app' 
    railties (4.2.7) lib/rails/rack/logger.rb:20:in `block in call' 
    activesupport (4.2.7) lib/active_support/tagged_logging.rb:68:in `block in tagged' 
    activesupport (4.2.7) lib/active_support/tagged_logging.rb:26:in `tagged' 
    activesupport (4.2.7) lib/active_support/tagged_logging.rb:68:in `tagged' 
    railties (4.2.7) lib/rails/rack/logger.rb:20:in `call' 
    ahoy_matey (1.4.2) lib/ahoy/engine.rb:22:in `call_with_quiet_ahoy' 
    request_store (1.3.1) lib/request_store/middleware.rb:9:in `call' 
    actionpack (4.2.7) lib/action_dispatch/middleware/request_id.rb:21:in `call' 
    rack (1.6.4) lib/rack/methodoverride.rb:22:in `call' 
    rack (1.6.4) lib/rack/runtime.rb:18:in `call' 
    activesupport (4.2.7) lib/active_support/cache/strategy/local_cache_middleware.rb:28:in `call' 
    rack (1.6.4) lib/rack/sendfile.rb:113:in `call' 
    actionpack (4.2.7) lib/action_dispatch/middleware/ssl.rb:24:in `call' 
    railties (4.2.7) lib/rails/engine.rb:518:in `call' 
    railties (4.2.7) lib/rails/application.rb:165:in `call' 
    /usr/lib/ruby/vendor_ruby/phusion_passenger/rack/thread_handler_extension.rb:97:in `process_request' 
    /usr/lib/ruby/vendor_ruby/phusion_passenger/request_handler/thread_handler.rb:160:in `accept_and_process_next_request' 
    /usr/lib/ruby/vendor_ruby/phusion_passenger/request_handler/thread_handler.rb:113:in `main_loop' 
    /usr/lib/ruby/vendor_ruby/phusion_passenger/request_handler.rb:416:in `block (3 levels) in start_threads' 
    /usr/lib/ruby/vendor_ruby/phusion_passenger/utils.rb:113:in `block in create_thread_and_abort_on_exception'

Nguồn

2016-08-30 Markus Graf

Có nhiều lý do. Một câu hỏi được giải thích trong câu hỏi này http://stackoverflow.com/questions/39055480/invalidauthenticitytoken-errors-in-mobile – slowjack2k

Câu hỏi được liên kết từ @ slowjack2k có vẻ là một vấn đề nghiêm trọng. Nhưng quan sát của tôi về điều này là rất hiếm. Vì vậy, tôi đoán nó là một thời gian hơn và vấn đề bộ nhớ đệm như mô tả ở đây https://github.com/rails/rails/issues/21948 –

Tôi tò mò, bạn đã tìm ra? Tôi cũng nhìn thấy một số lỗi thường xuyên này và tôi đang đào sâu hơn nữa. – dgilperez

Tôi đang làm việc với Dorian về giải pháp này.

Nếu bạn đang tìm kiếm vào sự nghiệp tôi khá tích cực mà this issue report in rails github hit đúng, đặc biệt là phần ít này:

# Trình duyệt bỏ, xoá cookie phiên

# Trình duyệt lại mở ra, tải lại trang từ bộ nhớ cache mà không cần thực hiện yêu cầu

Điều này đặc biệt đúng vì Defualt Rails sử dụng turbolinks khuyến khích bộ nhớ đệm (theo mặc định 10 trang nếu tôi gọi lại). Một cách khác có thể sao chép được là nhờ người dùng tải DOM của bạn (và do đó cookie/phiên) và sau đó yêu cầu họ hủy phiên hoặc cookie theo cách thủ công thông qua công cụ quản lý trình duyệt (ví dụ: chrome:// settings). Điều này cũng nên tái tạo lỗi vì bạn sẽ có thẻ ẩn cho csrf trong biểu mẫu, nhưng không phải là cookie phiên ... và bạn cần cả hai.

Nguồn

2017-07-12 05:13:45

Cảm ơn, tôi nghĩ rằng đó có thể là trường hợp. –

@MarkusGraf Tôi tò mò muốn biết liệu điều này có thực sự là vấn đề hay không. Bạn có bất kỳ phản hồi nào về việc kiểm tra sự cố không? –

Bạn có lẽ nên là null phiên làm việc trong môi trường sản xuất của bạn thay vì ném một ngoại lệ:

Trong bạn ApplicationController (hoặc bất kỳ điều khiển bạn lo lắng về) thêm:

protect_from_forgery with: :null_session

Nếu bạn đang thực sự lo lắng về nó, lời khuyên của tôi sẽ là để đăng nhập vào lỗi để Bugsnag ví dụ và ở đó bạn sẽ có thể xem xét yêu cầu và hiểu lý do tại sao nó xảy ra.

Nguồn

2017-01-31 08:11:33 Dorian

Lý do từ chối mã thông báo xác thực một cách tự nhiên trên trang web sản xuất

Trả lời

Các vấn đề liên quan