HTTPClient, problemi con put e delete

aris · June 27, 2012, 5:53pm

Ho testato le mie api con curl e funziona tutto, ora le devo utilizzare
con un’applicazione rails ed utilizzo la gemma in oggetto con la quale
però ho qualche problema con la richiesta put (e delete solo che di
questo non ricordo i dettagli). Get e post funzionano, col metodo
put non vengono utilizzati i parametri forniti alla chiamata:

@clnt = HTTPClient.new
res = @clnt.put(“http://localhost:3001/api/v1/pippe/#{options[:id]}”,
{:auth_token => @auth_token}.merge(options[:dati]))

i parametri vengono passati ma è come se put non li utilizzasse, non
arriva il token e giustamente ritorna un 401

Started PUT “/api/v1/pippe/2” for 127.0.0.1 at Wed Jun 27 17:31:23 +0200
2012
Processing by Api::V1::PippeController#update as JSON
Parameters: {“id”=>“2”}
WARNING: Can’t verify CSRF token authenticity
User Load (0.0ms) SELECT “users”.* FROM “users” WHERE “users”.“id” =
1 LIMIT 1
(0.0ms) begin transaction
(0.0ms) commit transaction
Completed 401 Unauthorized in 4ms

non ho spulciato il codice ma apparentemente sembra simile:

File ‘lib/httpclient.rb’, line 595

def post(uri, body = ‘’, extheader = {}, &block)
request(:post, uri, nil, body, extheader, &block)
end

File ‘lib/httpclient.rb’, line 600

def put(uri, body = ‘’, extheader = {}, &block)
request(:put, uri, nil, body, extheader, &block)
end

Qualcuno ha qualche idea?

triplem · June 27, 2012, 6:36pm

E’ un baco di HTTPClient:

#lib\httpclient.rb
#ho modificato il metodo create_request (riga 965)
aggiungendo questo codice:

  elsif ['DELETE', 'PUT'].include? method
    header << ['Content-Type', 'application/x-www-form-urlencoded']

ora i parametri vengono passati.
Non so se è un problema noto, io non ho trovato nulla. In questi casi si
avvisa l’autore o si crea una patch? (non sono molto pratico)

Comunque ho risolto, ciao

triplem · June 27, 2012, 7:15pm

Ciao Simone, in effetti ho dovuto modificare anche la chiamata del
delete:

def delete(uri, *args, &block)
request(:delete, uri, argument_to_hash(args, :body, :header),
&block)
end

…non ho capito perchè non è stato previsto il body.

Il warning l’avevo notato ma non ho capito chi lo generava.
Ho usato la documentazione di HTTPClient anche se non è proprio
aggiornatissima, indica l’ordine che ho usato io.

Ora devo scappare, domani controllo meglio, grazie comunque

triplem · June 27, 2012, 6:49pm

Dando un veloce sguardo alla libreria che hai usato, ci sono due
problemi
con la tua soluzione:

HTTPClient non accetta body per le chiamate DELETE (quindi
quell’header
inutile e potenzialmente errato)

Sends DELETE request to the specified URL. See request for

arguments.

def delete(uri, *args, &block)
request(:delete, uri, argument_to_hash(args, :header), &block)
end

Secondo l’implementazione, l’ordine dei parametri uri, body, header

Sends PUT request to the specified URL. See request for arguments.

def put(uri, *args, &block)
request(:put, uri, argument_to_hash(args, :body, :header), &block)
end

Nel codice tu fai il merge del body con gli header e li passi come primo
parametro. Questo mi fa pensare che l’errore stia nel tuo uso di
HTTPClient. L’output della console pare essere d’accordo

WARNING: Can’t verify CSRF token authenticity
User Load (0.0ms) SELECT “users”.* FROM “users” WHERE “users”.“id” =
1 LIMIT 1
(0.0ms) begin transaction
(0.0ms) commit transaction
Completed 401 Unauthorized in 4ms

Apparentemente, la tua richiesta non viene mai eseguita poich quella
chiamata bloccata dall’autenticazione. Sono propenso a pensare che il
bug
non sia in HTTPClient ma nella tua chiamata.

– Simone

2012/6/27 Marco M. [email protected]

Non so se un problema noto, io non ho trovato nulla. In questi casi si

–
Simone C.
Application Developer

Site & Blog: http://www.simonecarletti.com/
LinkedIn: http://linkedin.com/in/weppos
Skype: weppos

triplem · June 27, 2012, 7:28pm

2012/6/27 Marco M. [email protected]

…non ho capito perch non stato previsto il body.

Le specifiche HTTP 1.0 n lo vietano n lo consentono. Non saprei le 1.1.
Di norma viene omesso (la maggior parte dei server HTTP lo ignora).

Mi viene da chiedere a cosa ti serva un body per cancellare una risorsa.
Quali parametri hai necessit di passare?

–
Simone C.
Application Developer

Site & Blog: http://www.simonecarletti.com/
LinkedIn: http://linkedin.com/in/weppos
Skype: weppos

triplem · June 28, 2012, 9:44am

Per utilizzare l’api è necessario fornire il token di autenticazione: il
parametro che devo allegare a tutte le chiamate compresa la delete.

triplem · June 28, 2012, 10:45am

Grazie, stavo diventando matto a trovare quel warning!
Comunque non devo passare il token di rails ma quello per
l’autenticazione in devise.

triplem · June 28, 2012, 9:53am

Non necessario. Se vai a vedere il sorgente del modulo
RequestForgeryProtectionhttps://github.com/rails/rails/blob/3-2-stable/actionpack/lib/action_controller/metal/request_forgery_protection.rb,
nello
specifico il metodo
verify_authenticity_tokenhttps://github.com/rails/rails/blob/3-2-stable/actionpack/lib/action_controller/metal/request_forgery_protection.rb#L75
noterai
che dipende dal controllo

  def verified_request?

    !protect_against_forgery? || request.get? ||
      form_authenticity_token ==

params[request_forgery_protection_token] ||
form_authenticity_token == request.headers[‘X-CSRF-Token’]
end

verified_request? ritorna true (quindi autorizza l’esecuzione) in
diversi
casi, compreso nel caso in cui l’header http X-CSRF-Token sia presente e
corrisponda al token.

In altre parole, sufficiente nelle tue chiamate API passare il token
come
header HTTP per autorizzare la chiamata all’API, non serve simulare il
passaggio via parametro.

Quindi, almeno nel caso della DELETE, non ti serve body.

– Simone

2012/6/28 Marco M. [email protected]

Per utilizzare l’api necessario fornire il token di autenticazione: il
parametro che devo allegare a tutte le chiamate compresa la delete.

–
Posted via http://www.ruby-forum.com/.

Ml mailing list
[email protected]
http://lists.ruby-it.org/mailman/listinfo/ml

–
Simone C.
Application Developer

Site & Blog: http://www.simonecarletti.com/
LinkedIn: http://linkedin.com/in/weppos
Skype: weppos

triplem · June 28, 2012, 10:56am

Sono quasi sicuro che anche devise accetti authenticazione via header o
querystring.

2012/6/28 Marco M. [email protected]

–
Simone C.
Application Developer

Site & Blog: http://www.simonecarletti.com/
LinkedIn: http://linkedin.com/in/weppos
Skype: weppos

triplem · June 28, 2012, 12:25pm

Ecco, come non detto
Grazie

triplem · June 28, 2012, 12:38pm

Simone, ho letto il tuo blog e ti ho mandato una mail, l’indirizzo con
.name finale

triplem · July 16, 2012, 4:24pm

Devise salva il token in un cookie che utilizza in automatico per cui è
sufficiente il login dell’api e non serve più quindi passarlo come
parametro. Con questa soluzione però deve essere fornita user e password
per il login:

@clnt.post(“#{@server}/api/users/sign_in”, {“user_login[email]” =>
@user_login, “user_login[password]” => password})

E’ un alternativa ma forse preferivo la precedente dove bastava fornire
il token.

Comunque, stavo provando ad accedere con token nell’header seguendo gli
esempi della documentazione:

github.com

nahi/httpclient/blob/master/sample/howto.rb

#!/usr/bin/env ruby

$:.unshift(File.join('..', 'lib'))
require 'httpclient'

proxy = ENV['HTTP_PROXY']
clnt = HTTPClient.new(proxy)
clnt.set_cookie_store("cookie.dat")
target = ARGV.shift || "http://localhost/foo.cgi"

puts
puts '= GET content directly'
puts clnt.get_content(target)

puts '= GET result object'
result = clnt.get(target)
puts '== Header object'
p result.header
puts "== Content-type"
p result.contenttype

This file has been truncated. show original

puts clnt.get(target, nil, { “auth_token” => “eFRv9Jh5j6dzVxLxjQ6D”
}).content

ma la chiamata è priva di quell’header ed infatti non funziona. Sto
cercando di capire se sbaglio qualcosa, la sequenza di parametri della
get coincide con l’esempio:

def get(uri, *args, &block)
request(:get, uri, argument_to_hash(args, :query, :header,
:follow_redirect), &block)
end

triplem · July 17, 2012, 2:19pm

Sembra che devise che non supporti l’autenticazione con token su header,
non ho indagato molto, ho risolto così:

gist.github.com

https://gist.github.com/marcomd/3129118

gistfile1.rb

#Session controller provides a token
#/controllers/api/sessions_controller.rb
class Api::SessionsController < Devise::SessionsController
  before_filter :authenticate_user!, :except => [:create]
  before_filter :ensure_params_exist, :except => [:destroy]
  respond_to :json

  def create
    resource = User.find_for_database_authentication(:email => params[:user_login][:email])
    return invalid_login_attempt unless resource

This file has been truncated. show original

triplem · July 19, 2012, 9:23am

Giusto per completare il quadro, quà si parla di devise e token su
header:
https://groups.google.com/forum/?fromgroups#!topic/plataformatec-devise/o3Gqgl0yUZo