本文讲解如何解决 go 程序向 rails 后端发送 json 数据时因 csrf 验证失败导致的 422 错误，并提供兼顾安全性与实用性的配置方案。

本文讲解如何解决 go 程序向 rails 后端发送 json 数据时因 csrf 验证失败导致的 422 错误，并提供兼顾安全性与实用性的配置方案。

Rails 默认启用 CSRF（Cross-Site Request Forgery）防护机制，要求所有非 GET 请求（如 POST、PUT、DELETE）必须携带有效的 authenticity_token。然而，Go 程序作为外部服务（非浏览器客户端），既不维护会话 Cookie，也无法获取并提交该 token，因此直接 POST 到 Rails 的 ItemsController#create 会触发 Can't verify CSRF token authenticity 错误，返回 HTTP 422。

最直接的解决方案是在控制器中跳过 CSRF 验证，但需谨慎应用——仅对明确面向 API 的动作禁用，避免削弱整个控制器的安全性：

使用Go语言搭建家庭相册系统-相关课件

使用Go语言搭建家庭相册系统-相关课件

下载

# app/controllers/items_controller.rb
class ItemsController <p>⚠️ <strong>重要注意事项：</strong>  </p>

• ✅ skip_before_action 必须精确限定到 only: [:create]，切勿写成 except: [...] 或作用于整个控制器；
• ✅ 建议将此类 API 动作与 Web 页面逻辑分离，例如新建 Api::V1::ItemsController 并统一配置 protect_from_forgery with: :null_session（更推荐的 API 安全实践）；
• ✅ Go 端需确保请求头正确设置：

  req.Header.Set("Content-Type", "application/json")
  // 若 Rails 启用了 API 模式（config.api_only = true），还可添加：
  req.Header.Set("Accept", "application/json")

✅ 额外加固建议（推荐）：
为提升生产环境安全性，可结合以下措施：

• 在 config/initializers/filter_parameter_logging.rb 中屏蔽敏感字段日志；
• 使用 before_action 校验 request.content_type == 'application/json'；
• 为 API 端点添加简单 Token 认证（如 X-API-Key 头校验）；
• 在 routes.rb 中将 API 路由置于命名空间下，便于统一中间件管理：

  namespace :api do
    namespace :v1 do
      resources :items, only: [:create]
    end
  end

正确配置后，Go 程序即可稳定推送 JSON 数据，Rails 将成功解析并持久化至数据库，错误码 422 将不再出现。