跳过验证真实性令牌与使用空会话防止伪造？

Question

我正在构建一个需要从Mailgun接收POST'd电子邮件的Rails应用程序。好的，我有一个控制器和路由。

所有请求都会收到HTTP 422，因为Rails会说Invalid Authenticity Token，在这种情况下确实需要这样做。

我不会使用rack-cors因为我只允许使用自己的签名机制进行身份验证的Mailgun进程请求。

我的问题是：我应该使用skip_before_action :verify_authenticity_token还是应该使用protect_from_forgery with: :null_session？

Answer 1

我最终使用protect_from_forgery with: :null_session因为它不会污染任何现有的会话。