本文讲解如何解决 go 程序向 rails 后端发送 json 数据时因 csrf 验证失败导致的 422 错误，并提供兼顾安全性与实用性的配置方案。
本文讲解如何解决 go 程序向 rails 后端发送 json 数据时因 csrf 验证失败导致的 422 错误，并提供兼顾安全性与实用性的配置方案。
Rails 默认启用 CSRF（Cross-Site Request Forgery）防护机制，要求所有非 GET 请求（如 POST、PUT、DELETE）必须携带有效的 authenticity_token。然而，Go 程序作为外部服务（非浏览器客户端），既不维护会话 Cookie，也无法获取并提交该 token，因此直接 POST 到 Rails 的 ItemsController#create 会触发 Can't verify CSRF token authenticity 错误，返回 HTTP 422。
最直接的解决方案是在控制器中跳过 CSRF 验证，但需谨慎应用——仅对明确面向 API 的动作禁用，避免削弱整个控制器的安全性：
# app/controllers/items_controller.rb
class ItemsController < ApplicationController
skip_before_action :verify_authenticity_token, only: [:create]
def create
item = Item.new(item_params)
if item.save
render json: item, status: :created
else
render json: { errors: item.errors.full_messages }, status: :unprocessable_entity
end
end
private
def item_params
params.require(:item).permit(:address, :email_type, :event, :timestamp)
# 或使用强参数宽松模式（若 JSON 结构扁平）：
# params.permit(:Address, :EmailType, :Event, :Timestamp)
end
end⚠️ 重要注意事项：
- ✅ skip_before_action 必须精确限定到 only: [:create]，切勿写成 except: [...] 或作用于整个控制器；
- ✅ 建议将此类 API 动作与 Web 页面逻辑分离，例如新建 Api::V1::ItemsController 并统一配置 protect_from_forgery with: :null_session（更推荐的 API 安全实践）；
- ✅ Go 端需确保请求头正确设置：
req.Header.Set("Content-Type", "application/json") // 若 Rails 启用了 API 模式（config.api_only = true），还可添加： req.Header.Set("Accept", "application/json")
✅ 额外加固建议（推荐）：
为提升生产环境安全性，可结合以下措施：
- 在 config/initializers/filter_parameter_logging.rb 中屏蔽敏感字段日志；
- 使用 before_action 校验 request.content_type == 'application/json'；
- 为 API 端点添加简单 Token 认证（如 X-API-Key 头校验）；
- 在 routes.rb 中将 API 路由置于命名空间下，便于统一中间件管理：
namespace :api do namespace :v1 do resources :items, only: [:create] end end
正确配置后，Go 程序即可稳定推送 JSON 数据，Rails 将成功解析并持久化至数据库，错误码 422 将不再出现。
