Rails/AJAXキャッシュフォームの提出 - 422未処理のエンティティ

Question

My Railsアプリケーションは、ユーザー入力をAJAX経由で文字列化されたJSONとしてコントローラに渡すパブリック向きのフォームを備えています。フォームはオフラインで使用するように設計されているため、最初のフォームページ以外のフォームページへの訪問は、ブラウザのキャッシュから（キャッシュマニフェストを使用して）提供されます。私はフォームのページに移動する前にブラウザの履歴がクリアされていない限りフォーム提出が422 unprocessable entityエラーを返す問題を抱えています...ユーザーが1つのフォームの提出を行うことができると言います。その後のすべての投稿は422履歴を消去してフォームに戻ってキャッシュを更新します。残念ながら、それは飛ぶつもりはありません。

私はRailsのセキュリティに関して多大な経験をしていませんが、これはCSRFの保護と関連していることと、最初のフォームページを訪問したときに失効したCSRFトークンが合格。

私のAJAX要求はそうのように表示されます。現時点では

$.ajax({ 
    url: "post/submission", 
    type: "POST", 
    dataType: "json", 
    beforeSend: function(xhr) {xhr.setRequestHeader("X-CSRF-Token", $("meta[name='csrf-token']").attr("content"))}, 
    data: {"post" : postParameter}, 
    success: function(response){ 
     window.location = '/post/approval'; 
    } 
}); 

、レイアウトページには<%= csrf_meta_tags %>を含み、そして私は、アプリケーションのコントローラに標準protect_from_forgery with: :exceptionを持っています。

フォーム自体は公開されていますが、の後にユーザーログインが必要です。送信ボタンをクリックすると、有効なログインなしで送信が成功しません。 。

この問題を回避するための安全な方法はありますか？私はそれは言うまでもないと確信していますが、私は自分の履歴をクリアし、すべての投稿の後にフォームを再キャッシュすることはできません。

Answer 1

JavaScriptからPOSTリクエストを送信しながらCSRF保護を維持するには、現在の認証トークンをフォームのペイロードまたはリクエストヘッダーに指定する必要があります。

ブラウザキャッシュからページが読み込まれると、その認証トークンが古くなる可能性があるため、バックエンドからリフレッシュする必要があります。これを行う1つの方法は、イベントを検出し、バックエンドでform_authenticity_tokenメソッドによって生成される新しいトークンを取得するためのajaxリクエストを実行することです。

受信した認証トークンは、その後のJavaScript POST要求に使用できます。

キャッシュからロードされているページを検出する手法は、 in this StackOverflow answer。