Плохая CSRF при изменении пользователя

Поддержка
1

Всем привет,

в данный момент мы сталкиваемся с ошибками ["BAD CSRF"] (403, Forbidden).
Запрос с API-ключом выглядит следующим образом:
URL: https://<domain>/u/tschuerle.json?api_key=<valid key>&api_username=tschuerle
Тело: { "hide_profile_and_presence": true }
Метод: PUT
Заголовки: "Content-Type" в "application/json"

Согласно логам веб-хуков, всё работало до апреля. В данный момент мы используем последнюю стабильную версию 2.5.0.

Сценарий использования: установка профиля в режим «приватный» после создания пользователя через веб-хук, чтобы пользователь сам мог решить, хочет ли он сделать свой профиль публичным.

Есть какие-либо подсказки?

Спасибо,
Томас

2

Теперь ключи API необходимо указывать в заголовках, а не в параметрах URL. Подробнее см. на docs.discourse.org.

3

Ой, я упустил это. С этим всё работает.
Спасибо, @Falco