В рубине на рельсах изобретать, будет ли config.http_authenticatable_on_xhr = ложным результатом подделки подпроса?

Question

В этом посте вы узнаете, как войти в систему с помощью ajax с помощью devise и rails. http://natashatherobot.com/devise-rails-sign-in/

Одним из изменений является установка config.http_authenticatable_on_xhr = ложь

Мой друг сказал мне, что это приведет к требованию межсайтовому подлог, но он не уверен, почему. Кто-нибудь знает, верно ли это и почему?

Answer 1

Никакая эта модификация не приводит к CSRF. Он просто сообщает Devise, что заголовки HTTP должны быть возвращены (или нет) для запросов AJAX.