Rails CSRF Token's: ¿caducan?

Question

Me he dado cuenta de que si publica con un token CSRF no válido, Rails/devise lo cierra automáticamente.

Tengo una aplicación que no actualiza la página, y los usuarios se sientan en la página en tiempo real durante mucho tiempo. De vez en cuando, el usuario es expulsado. Me pregunto si el token CSRF está por vencer, por lo que es inválido.

Por eso estoy tratando de aprender, ¿expiran los tokens CSRF de Rails? ¿Hay algún momento en algún lugar?

Gracias

Answer 1

protección CSRF en Rails funciona mediante el almacenamiento de un valor aleatorio como un campo en el formulario se presenta, y también en la sesión del usuario. Si los valores no coinciden cuando se envía un formulario, Rails rechaza la solicitud de envío del formulario.

Si está utilizando el almacén de sesión de cookies predeterminado en Rails, las sesiones no caducarán (hasta que la cookie lo haga). Si está utilizando algo más (archivo o sesiones respaldadas por DB), entonces sí, si esas sesiones caducan, el envío del formulario fallará con un error CSRF.

Así que si está utilizando sesiones basadas en cookies (por defecto), verifique el vencimiento de la cookie. Si se ve bien, es probable que sea otro problema.