elixir - site - sitios csrf

Cómo deshabilitar selectivamente la comprobación de CSRF en el marco de Phoenix

Question

Estoy intentando crear una pestaña de página de Facebook que apunte a mi sitio web. Facebook envía una solicitud HTTP POST a la url de mi sitio web. El problema aquí es que el servidor tiene una comprobación CSRF integrada y devuelve el siguiente error:

(Plug.CSRFProtection.InvalidCSRFTokenError) invalid CSRF (Cross Site Forgery Protection) token, make sure all requests include a ''_csrf_token'' param or an ''x-csrf-token'' header`

El servidor espera un token CSRF que Facebook no puede tener. Por lo tanto, quiero desactivar selectivamente CSRF para la ruta www.mywebsite.com/facebook.

¿Cómo puedo hacerlo en Phoenix Framework?

Answer 1

La Plug.CSRFProtection está habilitada en su enrutador con protect_from_forgery . Esto se establece de forma predeterminada en la canalización del browser . Una vez que se ha agregado un enchufe, no hay forma de desactivarlo, en su lugar no se debe configurar en primer lugar. Puede hacerlo moviéndolo fuera del browser y solo incluyéndolo cuando sea necesario.

defmodule Foo.Router do
use Foo.Web, :router
pipeline :browser do
plug :accepts, ["html"]
plug :fetch_session
plug :fetch_flash
#plug :protect_from_forgery - move this
end
pipeline :csrf do
plug :protect_from_forgery # to here
end
pipeline :api do
plug :accepts, ["json"]
end
scope "/", Foo do
pipe_through [:browser, :csrf] # Use both browser and csrf pipelines
get "/", PageController, :index
end
scope "/", Foo do
pipe_through :browser # Use only the browser pipeline
get "/facebook", PageController, :index #You can use the same controller and actions if you like
end
end