0
@@ -105,12 +105,12 @@ module ActionController #:nodoc:
0
       # Sets the token value for the current session.  Pass a <tt>:secret</tt> option
0
       # in +protect_from_forgery+ to add a custom salt to the hash.
0
       def form_authenticity_token
0
-        @form_authenticity_token ||= if request_forgery_protection_options[:secret]
0
+        @form_authenticity_token ||= if !session.respond_to?(:session_id)
0
+          raise InvalidAuthenticityToken, "Request Forgery Protection requires a valid session.  Use #allow_forgery_protection to disable it, or use a valid session."
0
+        elsif request_forgery_protection_options[:secret]
0
           authenticity_token_from_session_id
0
         elsif session.respond_to?(:dbman) && session.dbman.respond_to?(:generate_digest)
0
           authenticity_token_from_cookie_session
0
-        elsif session.nil?
0
-          raise InvalidAuthenticityToken, "Request Forgery Protection requires a valid session.  Use #allow_forgery_protection to disable it, or use a valid session."
0
         else
0
           raise InvalidAuthenticityToken, "No :secret given to the #protect_from_forgery call.  Set that or use a session store capable of generating its own keys (Cookie Session Store)."
0
         end

0
@@ -50,6 +50,14 @@ class CsrfCookieMonsterController < ActionController::Base
0
   protect_from_forgery :only => :index
0
 end
0
 
0
+# sessions are turned off
0
+class SessionOffController < ActionController::Base
0
+  protect_from_forgery :secret => 'foobar'
0
+  session :off
0
+  def rescue_action(e) raise e end
0
+  include RequestForgeryProtectionActions
0
+end
0
+
0
 class FreeCookieController < CsrfCookieMonsterController
0
   self.allow_forgery_protection = false
0
   
0
@@ -224,3 +232,19 @@ class FreeCookieControllerTest < Test::Unit::TestCase
0
     end
0
   end
0
 end
0
+
0
+class SessionOffControllerTest < Test::Unit::TestCase
0
+  def setup
0
+    @controller = SessionOffController.new
0
+    @request    = ActionController::TestRequest.new
0
+    @response   = ActionController::TestResponse.new
0
+    @token      = OpenSSL::HMAC.hexdigest(OpenSSL::Digest::Digest.new('SHA1'), 'abc', '123')
0
+  end
0
+
0
+  def test_should_raise_correct_exception
0
+    @request.session = {} # session(:off) doesn't appear to work with controller tests
0
+    assert_raises(ActionController::InvalidAuthenticityToken) do
0
+      post :index, :authenticity_token => @token
0
+    end
0
+  end
0
+end