瞎扯淡 问一个有点坑爹的安全问题
简单的 mongoid+devise 配置好后，居然这样一句代码真能创建新用户：
curl -d "user[email][email protected]&user[password]=123456&user[password_confirmation]=123456" 172.18.43.52:3000/users
居然还真创建了一个用户... 这个过程密码是明文传输的啊？！
然后转念一想。。。莫非 ruby-china 也行？ 然后试了一下：
curl -d "user[login]=parano&user[email][email protected]&user[password]=123456&user[password_confirmation]=123456" ruby-china.org/account
结果返回：
<html><body>You are being <a href="http://ruby-china.org/">redirected</a>.</body></html>
还真注册了一个账户... 我了个去........
@paranoyang 表单里的 token 只是为了 保证 form post 是当前网站 传过来的 , 对于 直接开放的 接口，是可以 CSRF 的，这个时候就需要其他的 检查方式了，例如最基本的 过滤器 login_required
这个很多网站都有...
任何非 https 的登录都是不安全的。
在机场咖啡厅之类的地方，开个不加密的热点，然后在网络日志里搜 password 就能搞到各种密码，搜 set-cookie 就能搞到各种 cookie ...