本文讲解如何解决 go 程序向 rails 应用 post json 数据时因 csrf 验证失败导致的 422 错误，并提供正确配置、安全实践与完整示例。
本文讲解如何解决 go 程序向 rails 应用 post json 数据时因 csrf 验证失败导致的 422 错误，并提供正确配置、安全实践与完整示例。
Rails 默认启用了 CSRF（跨站请求伪造）防护机制，它要求所有非 GET 请求（如 POST、PUT、DELETE）必须携带有效的 authenticity_token，该 token 通常嵌入在 HTML 表单中或通过 Cookie + Header 组合验证。但 Go 程序作为外部 API 客户端，并不参与 Rails 的会话与表单渲染流程，无法获取或提交该 token，因此直接 POST 会导致 Can't verify CSRF token authenticity 错误，响应状态码为 422 Unprocessable Entity。
✅ 正确解决方案：有选择地跳过 CSRF 验证
对于专供外部服务（如 Go 后端、移动端、第三方系统）调用的 API 端点，应明确将其标记为“免 CSRF 验证”，而非全局禁用（protect_from_forgery with: :null_session 不适用于 JSON API 场景）。推荐做法是在 ItemsController 中仅对 create 动作跳过验证：
# app/controllers/items_controller.rb class ItemsController <p>⚠️ <strong>重要提醒：</strong> </p><div class="aritcle_card flexRow artxards"> <div class="artcardd flexRow"> <a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill4567" title="Comprehensive Three.js 3D graphics reference"><img src="https://img.php.cn/upload/skill/000/000/081/179012895030480.jpg" alt="Comprehensive Three.js 3D graphics reference" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a> <div class="aritcle_card_info flexColumn"> <a rel="nofollow" href="/xiazai/skill4567" title="Comprehensive Three.js 3D graphics reference" class="overflowclass">Comprehensive Three.js 3D graphics reference</a> <p class="overflowclass">详细的 Three.js 3D 图形参考，涵盖场景设置、相机、几何体、材质、光照、动画、控制器、加载器、数学工具和调试。</p> </div> <a rel="nofollow" href="/xiazai/skill4567" title="Comprehensive Three.js 3D graphics reference" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a> </div> </div>
- skip_before_action 必须放在 before_action 类方法之前（通常置于类开头），否则可能失效；
- 仅跳过 :create 是最小权限原则——其他动作（如 update、destroy）仍受保护；
- 确保该接口不处理用户敏感操作（如修改密码、扣款），否则需引入更严格的认证机制（如 API Key、JWT）。
? Go 客户端示例（确保发送标准 JSON）
Go 程序需设置正确的 Content-Type 并发送合法 JSON：
package main
import (
"bytes"
"encoding/json"
"fmt"
"net/http"
"time"
)
type Event struct {
Address string `json:"Address"`
EmailType string `json:"EmailType"`
Event string `json:"Event"`
Timestamp int64 `json:"Timestamp"`
}
func main() {
url := "http://localhost:4000/items"
for range time.Tick(1 * time.Second) {
event := Event{
Address: "test@example.com",
EmailType: "test",
Event: "test",
Timestamp: time.Now().Unix(),
}
data, _ := json.Marshal(event)
req, _ := http.NewRequest("POST", url, bytes.NewBuffer(data))
req.Header.Set("Content-Type", "application/json")
client := &http.Client{}
resp, err := client.Do(req)
if err != nil {
fmt.Printf("Request failed: %v\n", err)
continue
}
fmt.Printf("Sent event → Status: %d\n", resp.StatusCode)
resp.Body.Close()
}
}
? 进阶建议：增强 API 安全性（推荐）
跳过 CSRF 后，务必补充其他安全层：
- ✅ 添加 before_action :authenticate_api_request，通过 Authorization: Bearer
校验； - ✅ 在 config/routes.rb 中将 API 路由隔离（如 namespace :api, defaults: { format: :json }）；
- ✅ 使用 respond_to? :json 显式限定响应格式，避免意外 HTML 渲染；
- ✅ 对 params 做强类型校验（如 Integer() 转换 timestamp），防止注入。
完成上述配置后，Go 程序即可稳定向 Rails 写入数据，错误 422 将消失，返回 201 Created 表示成功入库。
