[B! Security][rails] Jxckのブックマーク

Rails4以降で正規表現の `^` や `$` を使うと怒られる訳。 - Qiita

こんにちは。18歳女子高生ながらエンジニアとして色々なところでアルバイトをしている 7coco です。 Rails で ArgumentError 先日 Rails で validation を書いていたら The provided regular expression is using multiline anchors (^ or $), which may present a security risk. Did you mean to use \A and \z, or forgot to add the :multiline => true option? (ArgumentError) と Rails に言われました。要するに「^と$はセキュリティ的に問題があるかもよ。\Aと\zを使いたかったんじゃない？そうじゃなかったら :multiline => true をオプションで

Jxck 2017/02/27

失敗しやすいものには明示的なオプトインを促す、これぞ Rail Way。

リンク

Rails5から使えるhas_secure_tokenをMySQLで使うときのまとめ - Qiita

Rails5からAPI modeが実装されたのに伴って、has_secure_tokenがRailsにマージされて標準機能になりました。平たくいうとhas_secure_passwordのtokenバージョン、と思えば大丈夫です。実装については該当のPullRequestを貼っておくのでご参照してください。 https://github.com/rails/rails/pull/18217 また、元々公開されていたGithub URLも合わせて貼っておきます。 https://github.com/robertomiranda/has_secure_token 使い方下記のように定義すれば tokenカラムに対して、has_secure_tokenメソッドで生成されるtokenがUserオブジェクトを生成するときに挿入されるようになります。

Jxck 2016/08/29

リンク

フレームワークに見る Web セキュリティ対策 - Qiita

セキュキャン 2015 高レイヤートラック(Jxck) 本資料は、セキュキャン 2015 高レイヤートラックの講義資料です。セキュキャン参加者であるセキュリティエンジニアの卵を対象に、 Web のセキュリティの知見が、実際どのように Web アプリ開発に反映されているか、もしくはどう反映すべきかを、フレームワークの視点から解説することを目的としています。将来、 Web のセキュリティに興味を持ったエンジニアが、その知見を多くの開発者に啓蒙する手段として、フレームワークに反映するというのは非常に有効な方法です。ここではその実例として Rails を例にとり、 Rails がこれまでに積み上げてきたセキュリティに関する知見を振り返るとともに、フレームワークとしてそれをどう取り入れているかを解説します。 Intro Web アプリケーションを開発する場合、 Web アプリケーションフレーム

Jxck 2015/08/14

今日の資料です(使ったとは言ってない) #seccamp

リンク

Securing Rails Applications — Ruby on Rails Guides

This manual describes common security probl ems in web applications and how to avoid them with Rails. After reading this guide, you will know: All countermeasures that are highlighted. The concept of sessions in Rails, what to put in there and popular attack methods. How just visiting a site can be a security probl em (with CSRF). What you have to pay attention to when working with files or providin