我试图在Rails中实现全页面缓存，但在CSRF方面遇到了一个很大的障碍--或者可能只是我对它的理解。我目前将form_authenticity_token字符串存储在一个cookie中，JS可以访问并重写头标记。
在生成的HTML中，我可以在两个地方找到标记：
1)打在头上
<meta name="csrf-token" content="[hash]">
2)在窗体的隐藏输入元素内部
<input type="hidden" name="authenticity_token" value="[different hash]">
如前所述，这些散列彼此不同（在未启用缓存的开发模式下）。为什么他们不一样？为什么我可以删除头 meta标记，并留下表单输入单独的请求是允许的？但是当我删除表单输入标记并保留标题时，请求被拒绝了？
实际上这意味着头部标签是无用的，不是吗？我可以将表单输入标记重写为cookie中的值，就像我对header标记所做的那样，但由于它们彼此不同，我对最终结果可能意味着什么持谨慎态度，特别是当涉及到整个页面缓存时。
应用程序控制器包含：

protect_from_forgery with: :exception
before_filter :csrf_cookie

def csrf_cookie
  cookies['authenticity-token'.freeze] = {
    value: form_authenticity_token,
    expires: 1.day.from_now,
    secure: (Rails.env.staging? || Rails.env.production?)
  }
end