0
@@ -19,12 +19,21 @@ module Mime
0
   #     end
0
   #   end
0
   class Type
0
-    @@html_types = Set.new [:html, :url_encoded_form, :multipart_form, :all]
0
+    @@html_types = Set.new [:html, :all]
0
     cattr_reader :html_types
0
 
0
-    # UNUSED, deprecate?
0
+    # These are the content types which browsers can generate without using ajax, flash, etc
0
+    # i.e. following a link, getting an image or posting a form.  CSRF protection
0
+    # only needs to protect against these types.
0
+    @@browser_generated_types = Set.new [:html, :url_encoded_form, :multipart_form]
0
+    cattr_reader :browser_generated_types
0
+
0
+
0
     @@unverifiable_types = Set.new [:text, :json, :csv, :xml, :rss, :atom, :yaml]
0
-    cattr_reader :unverifiable_types
0
+    def self.unverifiable_types
0
+      ActiveSupport::Deprecation.warn("unverifiable_types is deprecated and has no effect", caller)
0
+      @@unverifiable_types
0
+    end
0
 
0
     # A simple helper class used in parsing the accept header
0
     class AcceptItem #:nodoc:
0
@@ -170,13 +179,17 @@ module Mime
0
     # Returns true if Action Pack should check requests using this Mime Type for possible request forgery.  See
0
     # ActionController::RequestForgerProtection.
0
     def verify_request?
0
-      html?
0
+      browser_generated?
0
     end
0
 
0
     def html?
0
       @@html_types.include?(to_sym) || @string =~ /html/
0
     end
0
 
0
+    def browser_generated?
0
+      @@browser_generated_types.include?(to_sym)
0
+    end
0
+
0
     private
0
       def method_missing(method, *args)
0
         if method.to_s =~ /(\w+)\?$/

0
@@ -77,8 +77,8 @@ class MimeTypeTest < Test::Unit::TestCase
0
     all_types.uniq!
0
     # Remove custom Mime::Type instances set in other tests, like Mime::GIF and Mime::IPHONE
0
     all_types.delete_if { |type| !Mime.const_defined?(type.to_s.upcase) }
0
-    verified, unverified = all_types.partition { |type| Mime::Type.html_types.include? type }
0
-    assert verified.each   { |type| assert  Mime.const_get(type.to_s.upcase).verify_request?, "Mime Type is not verified: #{type.inspect}" }
0
-    assert unverified.each { |type| assert !Mime.const_get(type.to_s.upcase).verify_request?, "Mime Type is verified: #{type.inspect}" }
0
+    verified, unverified = all_types.partition { |type| Mime::Type.browser_generated_types.include? type }
0
+    assert verified.each   { |type| assert  Mime.const_get(type.to_s.upcase).verify_request?, "Verifiable Mime Type is not verified: #{type.inspect}" }
0
+    assert unverified.each { |type| assert !Mime.const_get(type.to_s.upcase).verify_request?, "Nonverifiable Mime Type is verified: #{type.inspect}" }
0
   end
0
 end