Understand Rails Authenticity Token

翻译 2013年08月15日 23:17:30

翻译整理自: http://stackoverflow.com/questions/941594/understand-rails-authenticity-token

主要翻译的是第一个回答,另外结合了下面的一些有用的评论,整理成文。


一直对authenticity-token 这东西不太理解,想想把SO看一遍也没啥用,索性还是翻译整理一下印象比较深刻。

  

用途:

当用户对一个表单进行 create, update, 或是删除一个资源的操作时, 

rails应用会随机生成一个唯一的'鉴别权标'(authenticity token), 并将该鉴别权标存储在session中, 

然后再把它放在该表单的一个隐藏区域中(hidden_field)。

当用户提交表单的时候, rails会查找鉴别权标(表单的隐藏区域里的那个),

并将它和先前存储在session中的鉴别权标想比对, 

如果两者相同则用户的请求得以继续发送.


Why we need it: 

既然鉴别权标是存储在session中的, 客户端也就不知道它的值.

(注: 此处客户端应该指的是在下文提到的案例中的可以运行恶意javascript代码的站点。)

这样做的好处是, 可以防止非当前rails应用表单的提交行为,也就是说为了确保客户向rails应用

发送的 POST/PUT/DELETE 请求是来自客户的浏览器, 而不是来自第三方攻击者. 

假设你在使用A站点,你已经登陆到该站点了,一切正常, 接着你去使用B站点了, 

你看到了一张很好看的图, 点开它想看大图。

这时候, 如果B站点上有一些恶意代码, 它可能会向A站点发送请求(因为你已经登陆了A站点),

要求删除你的账户,类似于发送请求到: http://serviceA.com/close_account. 

这就是大家熟知的跨站请求伪造( CSRF, Cross Site Request Forgery )攻击。


如果A站点使用了鉴别权标的话, 这种攻击方法就失效了, 

因为请求是从B服务站点发出的, 它不含有正确的鉴别权标, 请求也就不能继续发送了。

ps: 当然, 如果攻击者获取了A站点的表单的隐藏元素, 进而得到了该用户的唯一鉴别权标, 

比如, hijack了你在A站点的session,这样一来, 鉴别权标就不再保护你的请求了. 这种情况是有可能发生的!



注意:  

rails只会检查 POST, PUT(在rails 4 中被改为 PATCH ) 和 DELETE 请求的鉴别权标.

GET 请求是不会被检查的.为什么呢? 很简单, 

因为 HTTP 规范约定了 GET 请求不能 创建, 改变, 删除服务器上的资源的. 


另一方面,GET请求没必要是idempotent的( 所谓idempotent,也就是说不管你调用多少遍,得到的结果都是一样的, 

具体可参考:  what-is-an-idempotent-operation

注: 在数学中,该词意为等幂, 此处不知道该怎么翻译=。= )


安全也就意味着没有函数副作用。

( 函数副作用指当调用函数时, 除了返回函数值之外, 还对主调用函数产生附加的影响,

如修改全局变量或修改参数。严格的函数式语言要求函数必须无副作用.具体参考中文wiki )

 idempotent意味着不管调用多少次服务,都不会累加副作用。

所有的安全服务从本质上来说都是idempotent的,因为它们没有副作用。

对当前的一个资源多次发送GET请求, 每次都可能会得到不同的结果(因为资源可能会被服务器更新),

但是它仍然是安全的, 也就是idempotent的.

ps: 上面这段翻译了好几遍,还咨询了@蕊的安, 对于翻译长了不少姿势, 

不过还是不太确定,希望有朋友可以指正。原文如下:

Safe means no side-effects. Idempotent means the same side effect no matter how many time a service is called. 

All safe services are inherently idempotent because there are no side effects. Calling GET on a current-time

resource multiple times would return a different result each time, but it's safe (and thus idempotent).



综上, 你应该使用鉴别权标来保护你的 POST,PUT(PATCH), DELETE 请求。

当然, 从Rails 3.0.4 版本以后, rails是默认开启 authenticity token来阻止CSRF攻击的。


想了解更多,参考: 7 security tips from Railscasts

Github----"The authenticity of host ‘github.com......’ can't be established

当我在另一台电脑上重新安装了git ,和
  • cwzhsi
  • cwzhsi
  • 2014年10月24日 09:54
  • 625

ssh登录 The authenticity of host 192.168.0.xxx can't be established.

用ssh登录一个机器(换过ip地址)提示错误: The authenticity of host 139.129.x.x can’t be established. @@@@@@@@@@@@@@...
  • candyon
  • candyon
  • 2016年05月25日 17:34
  • 436

推荐一款代码阅读管理软件-Scitools Understand

【以下转载】 不知道大家在平时看代码写代码都使用什么工具? 在以前在 windows 下我一般使用 VS2008, 其实我觉得 VS 做的还是很好的, 它在调试方面 的功能很强大,可以很好的查看变量...

代码分析工具推荐Understand

之前看ogitor ,第一次看到那么多代码~~不知道从哪里下手,而且好多东西都不会Ogre什么的都不是很清楚,对ogitor的代码结构的了解就更不用提了。晕头转向的不知道从哪里下手,一点点的看起来好吃...

代码图形分析工具Understand

下面是转载:http://www.codemx.cn/2016/04/30/Understand01/ 的文章,他是用mac版本,我们也可以使用Windows版本的,可以到: http://down...

Understand JVM:Java内存区域模型与内存溢出异常

Java内存模型 运行时内存区域 Java虚拟机在执行Java程序的过程中会把它所管理的内存划分为若干个不同的数据区域,每个区域有各自的用途,有着不同的创建和销毁时间。 程序计数器 程序计数器...
  • wzb56
  • wzb56
  • 2016年11月26日 10:19
  • 603

ubuntu 14.04系统安装 Scientific Toolworks Understand 软件教程

为了能方便的看代码,想安装 Scientific Toolworks Understand 软件,以图表形式学习代码编写,可是整了将近一天时间,总算满意了。诶,走的弯路太多,现在把具体教程分享如下: ...

You Have to Understand Hardware,Too

You Have to Understand Hardware,TooKamal WickramanayakeFoR MAny SoFTWARE ARCHiTECTS, hardware capac...

Understand Threads in python

We will see some examples of using threads in Python and how to avoid race conditions: You should...

出现device is not a touchscreen I understand

最近在4412上写了关于触摸屏的应用程序,移植了tslib库,出现了device is not a touchscreen I understand,然后搜索了一下,大致总结出两个问题所在点。 有关...
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:Understand Rails Authenticity Token
举报原因:
原因补充:

(最多只允许输入30个字)