Rails にて XMLHttpRequest で POST するとセッションが切れる - 偏見プログラマの語り！

ご多分に漏れずハマったので書いておきます。(Ruby 1.9.3, Rails 3.2.2) Rails にはセッション変数 session がありますが、タイムアウトでもないのにこれが何故か空になってしまう現象が発生して、かなり悩んでました。どうも JavaScript で直接 XMLHttpRequest 発行すると発症するようです。GET ではなく POST したときのみのようです。 解決策ですが、リクエストヘッダに 'X-CSRF-Token' を追加すれば良いようです。 function post_xhr_request( url, param, on_ready ) { xhr = new XMLHttpRequest(); xhr.open( 'POST', url, true ); xhr.setRequestHeader( 'X-CSRF-Token', /* token

[hiroyuki1983]

「解決策ですが、リクエストヘッダに 'X-CSRF-Token' を追加すれば良いようです。」

[ockeghem]

XSSとCSRFの違いは徳丸本P146の説明がおすすめ。レビュアーからダメ出し食らって泣きながら書き直した箇所

[rryu]

もはやCSRFを知らない人がウェブアプリを作る時代ですか…

[t-murachi]

確かにこの辺畑違いだとキツイよなぁ…。