rails 3 protect_from_forgery什么也没做

Question

我试图在我的rails 3.0.8应用程序中伪造伪造请求但没有成功

我有常规表单,我用Tamper更改了auth键,然后提交它,我希望rails重置会话,因此注销current_user但是没有发生,操作成功完成,用户保持登录状态

我在应用程序控制器中有protect_from_forgery语句,我试图将config.consider_all_requests_local更改为false

Answer 1

确实......它做了一些事情,但你必须编码.

之前的行为已被删除,这是一个有争议的决定,但您可以将其取回,包括以下代码ApplicationController:

def handle_unverified_request
  #add here code to empty the session
  raise ActionController::InvalidAuthenticityToken
end