AVISO: Não é possível verificar os trilhos de autenticidade do token CSRF

Estou enviando dados do modo de exibição para o controlador com AJAX e recebi este erro:

AVISO: Não é possível verificar a autenticidade do token CSRF

Eu acho que tenho que enviar esse token com dados.

Alguém sabe como posso fazer isso?

Edit: Minha solução

Eu fiz isso colocando o seguinte código dentro da postagem do AJAX:

headers: {
  'X-Transaction': 'POST Example',
  'X-CSRF-Token': $('meta[name="csrf-token"]').attr('content')
},

Você deve fazer isso:

1. Verifique se você tem <%= csrf_meta_tag %>em seu layout

2. Adicione beforeSenda toda a solicitação ajax para definir o cabeçalho como abaixo:

$.ajax({ url: 'YOUR URL HERE',
  type: 'POST',
  beforeSend: function(xhr) {xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))},
  data: 'someData=' + someData,
  success: function(response) {
    $('#someDiv').html(response);
  }
});

Para enviar token em todas as solicitações, você pode usar:

$.ajaxSetup({
  headers: {
    'X-CSRF-Token': $('meta[name="csrf-token"]').attr('content')
  }
});

A melhor maneira de fazer isso é usar apenas <%= form_authenticity_token.to_s %>para imprimir o token diretamente no seu código rails. Você não precisa usar o javascript para pesquisar o dom pelo token csrf, como outros posts mencionam. basta adicionar a opção de cabeçalhos como abaixo;

$.ajax({
  type: 'post',
  data: $(this).sortable('serialize'),
  headers: {
    'X-CSRF-Token': '<%= form_authenticity_token.to_s %>'
  },
  complete: function(request){},
  url: "<%= sort_widget_images_path(@widget) %>"
})

Se bem me lembro, você deve adicionar o seguinte código ao seu formulário, para se livrar desse problema:

<%= token_tag(nil) %>

Não esqueça o parâmetro.

De fato, a maneira mais simples. Não se preocupe em alterar os cabeçalhos.

Assegure-se de ter:

<%= csrf_meta_tag %> in your layouts/application.html.erb

Basta fazer um campo de entrada oculto da seguinte maneira:

<input name="authenticity_token" 
               type="hidden" 
               value="<%= form_authenticity_token %>"/>

Ou, se você quiser uma postagem do jQuery ajax:

$.ajax({     
    type: 'POST',
    url: "<%= someregistration_path %>",
    data: { "firstname": "text_data_1", "last_name": "text_data2", "authenticity_token": "<%= form_authenticity_token %>" },                                                                                  
    error: function( xhr ){ 
      alert("ERROR ON SUBMIT");
    },
    success: function( data ){ 
      //data response can contain what we want here...
      console.log("SUCCESS, data="+data);
    }
});

A atualização de um aplicativo mais antigo para o Rails 3.1, incluindo a metatag csrf ainda não está resolvendo isso. No blog rubyonrails.org, eles fornecem algumas dicas de atualização e, especificamente, esta linha de jquery, que deve estar na seção principal do seu layout:

$(document).ajaxSend(function(e, xhr, options) {
 var token = $("meta[name='csrf-token']").attr("content");
  xhr.setRequestHeader("X-CSRF-Token", token);
});

extraído desta postagem do blog: http://weblog.rubyonrails.org/2011/2/8/csrf-protection-bypass-in-ruby-on-rails .

No meu caso, a sessão estava sendo redefinida a cada solicitação de ajax. A adição do código acima resolveu esse problema.

1. Verifique se você tem <%= csrf_meta_tag %>em seu layout
2. Adicione a beforeSendpara incluir o token csrf na solicitação ajax para definir o cabeçalho. Isso é necessário apenas para postsolicitações.

O código para ler o csrf-token está disponível no diretório rails/jquery-ujs, portanto, é mais fácil usá-lo da seguinte maneira:

$.ajax({
  url: url,
  method: 'post',
  beforeSend: $.rails.CSRFProtection,
  data: {
    // ...
  }
})

Eu apenas pensei em vincular isso aqui, pois o artigo tem a maioria das respostas que você está procurando e também é muito interessante

http://www.kalzumeus.com/2011/11/17/i-saw-an-extremely-subtle-bug-today-and-i-justjust-have-to-tell-someone/

As principais respostas votadas aqui estão corretas, mas não funcionarão se você estiver executando solicitações entre domínios, porque a sessão não estará disponível, a menos que você diga explicitamente ao jQuery para passar o cookie da sessão. Veja como fazer isso:

$.ajax({ 
  url: url,
  type: 'POST',
  beforeSend: function(xhr) {
    xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))
  },
  xhrFields: {
    withCredentials: true
  }
});

Você pode escrevê-lo globalmente como abaixo.

JS normal:

$(function(){

    $('#loader').hide()
    $(document).ajaxStart(function() {
        $('#loader').show();
    })
    $(document).ajaxError(function() {
        alert("Something went wrong...")
        $('#loader').hide();
    })
    $(document).ajaxStop(function() {
        $('#loader').hide();
    });
    $.ajaxSetup({
        beforeSend: function(xhr) {xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))}
    });
});

Script Café:

  $('#loader').hide()
  $(document).ajaxStart ->
    $('#loader').show()

  $(document).ajaxError ->
    alert("Something went wrong...")
    $('#loader').hide()

  $(document).ajaxStop ->
    $('#loader').hide()

  $.ajaxSetup {
    beforeSend: (xhr) ->
      xhr.setRequestHeader('X-CSRF-Token', $('meta[name="csrf-token"]').attr('content'))
  }

oops ..

Eu perdi a seguinte linha no meu application.js

//= require jquery_ujs

Eu o substituí e está funcionando ..

======= ATUALIZADO =========

Após 5 anos, estou de volta com o mesmo erro, agora tenho o Rails 5.1.6 totalmente novo e encontrei este post novamente. Assim como o círculo da vida.

Agora, qual era o problema: o Rails 5.1 removeu o suporte para jquery e jquery_ujs por padrão e adicionou

//= require rails-ujs in application.js

Faz o seguinte:

1. forçar diálogos de confirmação para várias ações;
2. faça solicitações não GET a partir de hiperlinks;
3. faça formulários ou hiperlinks enviar dados de forma assíncrona com o Ajax;
4. os botões de envio são desativados automaticamente no envio de formulários para impedir o clique duplo. (de: https://github.com/rails/rails-ujs/tree/master )

Mas por que não está incluindo o token csrf para solicitação de ajax? Se alguém souber sobre isso em detalhes, basta comentar-me. Obrigado.

De qualquer forma, adicionei o seguinte no meu arquivo js personalizado para fazê-lo funcionar (obrigado por outras respostas para me ajudar a alcançar esse código):

$( document ).ready(function() {
  $.ajaxSetup({
    headers: {
      'X-CSRF-Token': Rails.csrfToken()
    }
  });
  ----
  ----
});

Se você não estiver usando jQuery e usando algo como buscar API para solicitações, poderá usar o seguinte para obter csrf-token:

document.querySelector('meta[name="csrf-token"]').getAttribute('content')

fetch('/users', {
  method: 'POST',
  headers: {
    'Accept': 'application/json',
    'Content-Type': 'application/json',
    'X-CSRF-Token': document.querySelector('meta[name="csrf-token"]').getAttribute('content')},
    credentials: 'same-origin',
    body: JSON.stringify( { id: 1, name: 'some user' } )
    })
    .then(function(data) {
      console.log('request succeeded with JSON response', data)
    }).catch(function(error) {
      console.log('request failed', error)
    })

Use jquery.csrf ( https://github.com/swordray/jquery.csrf ).

• Rails 5.1 ou posterior

  $ yarn add jquery.csrf

  //= require jquery.csrf

• Rails 5.0 ou anterior

  source 'https://rails-assets.org' do
    gem 'rails-assets-jquery.csrf'
  end

  //= require jquery.csrf

• Código fonte

  (function($) {
    $(document).ajaxSend(function(e, xhr, options) {
      var token = $('meta[name="csrf-token"]').attr('content');
      if (token) xhr.setRequestHeader('X-CSRF-Token', token);
    });
  })(jQuery);

Se você estiver usando javascript com jQuery para gerar o token no seu formulário, isso funcionará:

<input name="authenticity_token" 
       type="hidden" 
       value="<%= $('meta[name=csrf-token]').attr('content') %>" />

Obviamente, você precisa ter o <%= csrf_meta_tag %>no seu layout Ruby.

Para aqueles que precisam de uma resposta que não seja do jQuery, basta adicionar o seguinte:

xmlhttp.setRequestHeader ('X-CSRF-Token', $ ('meta [name = "csrf-token"]'). attr ('content'));

Um exemplo muito simples pode ser usado aqui:

xmlhttp.open ("POST", "example.html", true);
xmlhttp.setRequestHeader ('X-CSRF-Token', $ ('meta [name = "csrf-token"]'). attr ('content'));
xmlhttp.send ();

Eu lutei com esse problema por dias. Qualquer chamada GET estava funcionando corretamente, mas todas as PUTs gerariam um erro "Não é possível verificar a autenticidade do token CSRF". Meu site estava funcionando bem até eu adicionar um certificado SSL ao nginx.

Eu finalmente tropecei nessa linha ausente nas minhas configurações de nginx:

location @puma { 
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; 
    proxy_set_header Host $http_host; 
    proxy_redirect off;
    proxy_set_header X-Forwarded-Proto https;   # Needed to avoid 'WARNING: Can't verify CSRF token authenticity'
    proxy_pass http://puma; 
}

Após adicionar a linha ausente "proxy_set_header X-Forwarded-Proto https;", todos os meus erros de token CSRF são encerrados.

Espero que isso ajude alguém que também está batendo a cabeça contra uma parede. haha

se alguém precisar de ajuda relacionada ao Uploadify e Rails 3.2 (como eu quando pesquisei este post no Google), este exemplo de aplicativo pode ser útil: https://github.com/n0ne/Uploadify-Carrierwave-Rails-3.2.3/blob/master /app/views/pictures/index.html.erb

verifique também a solução do controlador neste aplicativo

Estou usando o Rails 4.2.4 e não consegui entender por que estava recebendo:

Can't verify CSRF token authenticity

Eu tenho no layout:

<%= csrf_meta_tags %>

No controlador:

protect_from_forgery with: :exception

A chamada tcpdump -A -s 999 -i lo port 3000estava mostrando o cabeçalho sendo definido (apesar de não ser necessário definir os cabeçalhos com ajaxSetup- já foi feito):

X-CSRF-Token: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
DNT: 1
Content-Length: 125
authenticity_token=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

No final, estava falhando porque eu tinha os cookies desligados. O CSRF não funciona sem que os cookies sejam ativados, portanto, essa é outra causa possível se você estiver vendo esse erro.