ADVERTENCIA: no se pueden verificar los carriles de autenticidad de token CSRF

Estoy enviando datos desde la vista al controlador con AJAX y recibí este error:

ADVERTENCIA: no se puede verificar la autenticidad del token CSRF

Creo que tengo que enviar este token con datos.

¿Alguien sabe cómo puedo hacer esto?

Editar: mi solución

Hice esto poniendo el siguiente código dentro de la publicación de AJAX:

headers: {
  'X-Transaction': 'POST Example',
  'X-CSRF-Token': $('meta[name="csrf-token"]').attr('content')
},

Usted debe hacer esto:

1. Asegúrese de tener <%= csrf_meta_tag %>en su diseño

2. Agregue beforeSenda toda la solicitud ajax para establecer el encabezado como se muestra a continuación:

$.ajax({ url: 'YOUR URL HERE',
  type: 'POST',
  beforeSend: function(xhr) {xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))},
  data: 'someData=' + someData,
  success: function(response) {
    $('#someDiv').html(response);
  }
});

Para enviar token en todas las solicitudes que puede usar:

$.ajaxSetup({
  headers: {
    'X-CSRF-Token': $('meta[name="csrf-token"]').attr('content')
  }
});

La mejor manera de hacerlo es usarlo <%= form_authenticity_token.to_s %>para imprimir el token directamente en su código de rieles. No necesita usar javascript para buscar el dom para el token csrf como mencionan otras publicaciones. simplemente agregue la opción de encabezados como se muestra a continuación;

$.ajax({
  type: 'post',
  data: $(this).sortable('serialize'),
  headers: {
    'X-CSRF-Token': '<%= form_authenticity_token.to_s %>'
  },
  complete: function(request){},
  url: "<%= sort_widget_images_path(@widget) %>"
})

Si no recuerdo mal, debe agregar el siguiente código a su formulario para deshacerse de este problema:

<%= token_tag(nil) %>

No olvides el parámetro.

De hecho, la forma más simple. No te molestes en cambiar los encabezados.

Asegúrate de tener:

<%= csrf_meta_tag %> in your layouts/application.html.erb

Simplemente haga un campo de entrada oculto así:

<input name="authenticity_token" 
               type="hidden" 
               value="<%= form_authenticity_token %>"/>

O si quieres una publicación de jQuery ajax:

$.ajax({     
    type: 'POST',
    url: "<%= someregistration_path %>",
    data: { "firstname": "text_data_1", "last_name": "text_data2", "authenticity_token": "<%= form_authenticity_token %>" },                                                                                  
    error: function( xhr ){ 
      alert("ERROR ON SUBMIT");
    },
    success: function( data ){ 
      //data response can contain what we want here...
      console.log("SUCCESS, data="+data);
    }
});

La actualización de una aplicación anterior a Rails 3.1, incluida la metaetiqueta csrf, todavía no la resuelve. En el blog de rubyonrails.org, dan algunos consejos de actualización, y específicamente esta línea de jquery que debe ir en la sección principal de su diseño:

$(document).ajaxSend(function(e, xhr, options) {
 var token = $("meta[name='csrf-token']").attr("content");
  xhr.setRequestHeader("X-CSRF-Token", token);
});

tomado de esta publicación de blog: http://weblog.rubyonrails.org/2011/2/8/csrf-protection-bypass-in-ruby-on-rails .

En mi caso, la sesión se reiniciaba con cada solicitud de ajax. Agregar el código anterior resolvió ese problema.

1. Asegúrese de tener <%= csrf_meta_tag %>en su diseño
2. Agregue a beforeSendpara incluir el token csrf en la solicitud ajax para establecer el encabezado. Esto solo es necesario para las postsolicitudes.

El código para leer el csrf-token está disponible en rails/jquery-ujs, por lo tanto, es más fácil usarlo de la siguiente manera:

$.ajax({
  url: url,
  method: 'post',
  beforeSend: $.rails.CSRFProtection,
  data: {
    // ...
  }
})

Solo pensé en vincular esto aquí ya que el artículo tiene la mayor parte de la respuesta que estás buscando y también es muy interesante

http://www.kalzumeus.com/2011/11/17/i-saw-an-extremely-subtle-bug-today-and-i-just-have-to-tell-someone/

Las respuestas más votadas aquí son correctas, pero no funcionarán si realiza solicitudes entre dominios porque la sesión no estará disponible a menos que explícitamente le diga a jQuery que pase la cookie de la sesión. Aquí se explica cómo hacerlo:

$.ajax({ 
  url: url,
  type: 'POST',
  beforeSend: function(xhr) {
    xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))
  },
  xhrFields: {
    withCredentials: true
  }
});

Puedes escribirlo globalmente como a continuación.

JS normal:

$(function(){

    $('#loader').hide()
    $(document).ajaxStart(function() {
        $('#loader').show();
    })
    $(document).ajaxError(function() {
        alert("Something went wrong...")
        $('#loader').hide();
    })
    $(document).ajaxStop(function() {
        $('#loader').hide();
    });
    $.ajaxSetup({
        beforeSend: function(xhr) {xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))}
    });
});

Guión de café:

  $('#loader').hide()
  $(document).ajaxStart ->
    $('#loader').show()

  $(document).ajaxError ->
    alert("Something went wrong...")
    $('#loader').hide()

  $(document).ajaxStop ->
    $('#loader').hide()

  $.ajaxSetup {
    beforeSend: (xhr) ->
      xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))
  }

oops ..

Perdí la siguiente línea en mi application.js

//= require jquery_ujs

Lo reemplacé y está funcionando ...

======= ACTUALIZADO =========

Después de 5 años, he vuelto con el mismo error, ahora tengo un nuevo Rails 5.1.6 y encontré esta publicación nuevamente. Al igual que el círculo de la vida.

Ahora, cuál era el problema es: Rails 5.1 eliminó la compatibilidad con jquery y jquery_ujs de forma predeterminada, y agregó

//= require rails-ujs in application.js

Hace lo siguiente:

1. forzar cuadros de diálogo de confirmación para diversas acciones;
2. hacer solicitudes que no sean GET desde hipervínculos;
3. hacer formularios o hipervínculos enviar datos de forma asíncrona con Ajax;
4. hacer que los botones de envío se deshabiliten automáticamente al enviar el formulario para evitar hacer doble clic. (de: https://github.com/rails/rails-ujs/tree/master )

Pero, ¿por qué no incluye el token csrf para la solicitud ajax? Si alguien sabe sobre esto en detalle, solo coménteme. Soy consciente de que.

De todos modos, agregué lo siguiente en mi archivo js personalizado para que funcione (Gracias por otras respuestas para ayudarme a alcanzar este código):

$( document ).ready(function() {
  $.ajaxSetup({
    headers: {
      'X-CSRF-Token': Rails.csrfToken()
    }
  });
  ----
  ----
});

Si no está utilizando jQuery y está utilizando algo como buscar API para solicitudes, puede usar lo siguiente para obtener csrf-token:

document.querySelector('meta[name="csrf-token"]').getAttribute('content')

fetch('/users', {
  method: 'POST',
  headers: {
    'Accept': 'application/json',
    'Content-Type': 'application/json',
    'X-CSRF-Token': document.querySelector('meta[name="csrf-token"]').getAttribute('content')},
    credentials: 'same-origin',
    body: JSON.stringify( { id: 1, name: 'some user' } )
    })
    .then(function(data) {
      console.log('request succeeded with JSON response', data)
    }).catch(function(error) {
      console.log('request failed', error)
    })

Utilice jquery.csrf ( https://github.com/swordray/jquery.csrf ).

• Rieles 5.1 o posterior

  $ yarn add jquery.csrf

  //= require jquery.csrf

• Rieles 5.0 o anteriores

  source 'https://rails-assets.org' do
    gem 'rails-assets-jquery.csrf'
  end

  //= require jquery.csrf

• Código fuente

  (function($) {
    $(document).ajaxSend(function(e, xhr, options) {
      var token = $('meta[name="csrf-token"]').attr('content');
      if (token) xhr.setRequestHeader('X-CSRF-Token', token);
    });
  })(jQuery);

Si está utilizando JavaScript con jQuery para generar el token en su formulario, esto funciona:

<input name="authenticity_token" 
       type="hidden" 
       value="<%= $('meta[name=csrf-token]').attr('content') %>" />

Obviamente, necesitas tener el <%= csrf_meta_tag %>diseño en Ruby.

Para aquellos de ustedes que necesitan una respuesta que no sea de jQuery, simplemente agreguen lo siguiente:

xmlhttp.setRequestHeader ('X-CSRF-Token', $ ('meta [name = "csrf-token"]'). attr ('content'));

Un ejemplo muy simple se puede enviar aquí:

xmlhttp.open ("POST", "example.html", verdadero);
xmlhttp.setRequestHeader ('X-CSRF-Token', $ ('meta [name = "csrf-token"]'). attr ('content'));
xmlhttp.send ();

Luché con este problema durante días. Cualquier llamada GET funcionaba correctamente, pero todos los PUT generarían un error "No se puede verificar la autenticidad del token CSRF". Mi sitio web funcionaba bien hasta que agregué un certificado SSL a nginx.

Finalmente me topé con esta línea faltante en mi configuración de nginx:

location @puma { 
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; 
    proxy_set_header Host $http_host; 
    proxy_redirect off;
    proxy_set_header X-Forwarded-Proto https;   # Needed to avoid 'WARNING: Can't verify CSRF token authenticity'
    proxy_pass http://puma; 
}

Después de agregar la línea que falta "proxy_set_header X-Fordered-Proto https;", todos mis errores de token CSRF se cierran.

Esperemos que esto ayude a alguien más que también se golpea la cabeza contra la pared. jaja

Si alguien necesita ayuda relacionada con Uploadify y Rails 3.2 (como yo cuando busqué en Google esta publicación), esta aplicación de muestra puede ser útil: https://github.com/n0ne/Uploadify-Carrierwave-Rails-3.2.3/blob/master /app/views/pictures/index.html.erb

También verifique la solución del controlador en esta aplicación

Estoy usando Rails 4.2.4 y no podía entender por qué estaba obteniendo:

Can't verify CSRF token authenticity

Tengo en el diseño:

<%= csrf_meta_tags %>

En el controlador:

protect_from_forgery with: :exception

Invocar tcpdump -A -s 999 -i lo port 3000mostraba el encabezado que se estaba configurando (a pesar de no tener que configurar los encabezados con ajaxSetup, ya estaba hecho):

X-CSRF-Token: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
DNT: 1
Content-Length: 125
authenticity_token=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

Al final estaba fallando porque tenía las cookies apagadas. CSRF no funciona sin las cookies habilitadas, por lo que esta es otra causa posible si está viendo este error.