ruby-on-rails – Rails 5 devise_token_auth无法验证CSRF令牌的

我清楚警告意味着什么.

第一个问题：对于api(JSON / XML)响应,CSRF保护应该关闭,对吗？

我在网上搜索了一些似乎CSRF恰好发生在带有cookie的web应用程序上.但我从rails api document读到这个：

It’s important to remember that XML or JSON requests are also affected >and if you’re building an API you should change forgery protection >method in ApplicationController (by default: :exception):

class ApplicationController < ActionController::Base
protect_from_forgery unless: -> { request.format.json? }
end


所以我仍然通过这样添加警告：

class ApplicationController < ActionController::Base
  protect_from_forgery unless: -> { request.format.json? }
  include DeviseTokenAuth::Concerns::SetUserByToken
end

第二个问题：如果API不需要CSRF保护,为什么呢

protect_from_forgery unless: -> { request.format.json? }

不起作用？

不确定我是否理解错误.谢谢！