#21 楼 @sefier 楼主问 csrf，那么 web app 和 mobile app 都有可能啊，所以我问楼主有没有用 cookie 验证，因为 web app 可用也不用 cookie。是你先入为主。

补充：Ruby China 的安卓 APP 基于 turbolinks 实现，其实是 webview，需要防 csrf。

#19 楼 @sefier https://en.m.wikipedia.org/wiki/App

App, apps or APP may refer to:

• Mobile app, software designed to run on smartphones and other mobile devices
• Application software that causes a computer to perform tasks for computer users
• Web application or web app, software designed to run inside a web browser

#16 楼 @sefier 技术讨论干嘛搞得像批斗会一样，最后一段话对解决问题没有帮助，提问者不就是因为不懂所以提问。如果你知道问题所在，可以提供参考资料。

现在前后端分离这么流行，也许楼主说的 APP 就是网页前端，放在同一域名，通过 cookie 验证，这样就需要防 csrf。

#2 楼 @timlen 你不能只是把 Turbolinks 加上，还要看它的文档，不然就会遇到各种问题。

我觉得电商网站挺有必要实现这套，随时会新增运营人员但限定不同权限。

核心需求我通常会自己实现。

Ajax 操作之后用 history.replaceState 更新历史记录。 RubyChina 用 Turbolinks 已经自动处理了。

https://ruby-china.org/topics/31858

哦，发现楼主已经回帖了。

我还不是很清楚你的场景，多个应用是多个网站还是多个移动应用，以后会不会扩展？需要多站点免登陆还是相同账号密码登陆还是授权验证？

多系统共用的账号系统要优先选用通用的协议，不要从零开始。

#8 楼 @pengedy 什么叫政治正确？看了你几个帖子都在胡说八道。

SSO：用户一次登陆后在多个系统免登录。
OAuth：用户授权第三方应用访问自己的资源无需提供账号密码。

场景不同选择不同。

#7 楼 @xiaobai2 access_token 放参数或者头部

#3 楼 @ghn645568344 给个攻击例子？不明白被抓取是什么意思。

rvm use --default 2.2.0

CSRF 利用的 cookies 验证进行未授权访问，不用 cookies 作为验证就没问题（大概）

我还是相信 crontab

创业公司也有很多类型，不同规模。

#2 楼 @pcpcpc 手机回复，不方便贴代码。你可以找 foreman 这个 gem，可以根据一行配置导出各种系统进程管理配置。

专机专用并且是秘钥登录的话，我觉得可以设 sudo 免密，用户被攻破了的话本身也没有安全性了。

我之前是写 upstart 脚本管理进程，部署脚本执行 upstart 命令。现在应该用 systemd。

Heroku 好用还在于扩容无需管理，自己搭又变成自己管了。

add_index 写到 def change ; end 里面。

你听说过 Google 吗？

#4 楼 @daqing 用作简历找一份好工作，迎娶白富美，出任 CTO，走向人生巅峰。

如果不知道怎么选择，就选 Rails 默认的。

#13 楼 @ericguo 我是不敢随意扫码的。

是模版输出的问题，用的什么模版？

Rails 依赖里没有 io-console 这个东西，要看你怎么加的。

给个摘要比较好。

建议用 http://wkhtmltopdf.org/

#3 楼 @huacnlee 也许就是自己内部服务的接口，有传输层加密好过没有，只是不校验证书正确性。