Our Stewardship: Where We Are, What’s Changing and How We’ll Engage
Dear Rubyists, Thank you for giving me this opportunity to share with you. We take our stewardship of the Ruby Gems ecosystem seriously. Our mission is clear: keep the language and the infrastructure you rely on stable, safe, and trustworthy. Before we get to what the next steps will be, here is a quick recap from the video that we shared last week. Moving parts:We recognize there is confusion bet
Ruby on Rails 6から7に上げただけで情報漏洩？Hash→JSON 変換の挙動変更で実際に生まれた脆弱性 - GMO Flatt Security Blog
こんにちは、GMO Flatt Security の大崎です。 本記事では、私が作問し弊社の Kaigi on Rails 2025 出展ブースで出題したクイズを解説します。 このクイズは、実際に HackerOne に報告された脆弱性を元ネタとしています。 Ruby on Rails をバージョンアップした際に、Hash を JSON に変換する挙動が変わったことが原因でユーザー情報が漏洩してしまいました。さらに「なぜユニットテストで検知できなかったのか」についてもレポートで公開されており、とても学びの多い内容でした。そこで、このレポートを題材に今回のクイズを作りました。 問題 選択肢 解答 元ネタの脆弱性について JSON における重複キーの扱い ユニットテストで検知できなかった理由 宿題クイズ 得られる学び 脆弱性診断・ペネトレーションテストにおいては...？ 問題 次のコードを、R
When Responsibility and Power Collide: Lessons from the RubyGems Crisis
The Ruby community experienced significant turbulence in September 2025 when Ruby Central forcibly took control of the RubyGems GitHub organization, removing long-standing maintainers without warning. As someone who has worked extensively on RubyGems security - first independently and later with Mend.io - protecting our ecosystem from supply chain attacks and handling vulnerability reports, I foun
Strengthening the Stewardship of RubyGems and Bundler
Updated 2025-09-25 to reflect: Postponement of Q&A Session and link to updated statement. Ruby Community, At the heart of Ruby Central’s mission is our responsibility to steward the open source tools that power the Ruby ecosystem. That commitment is only as strong as the people and processes behind it. Over the past several months, we have been carefully reviewing how RubyGems.org, RubyGems, and B
How RubyGems.org Protects Our Community’s Critical OSS Infrastructure - RubyGems Blog
Recently, Socket.dev published research highlighting malicious gems designed to steal social media credentials. We wanted to use this as an opportunity to share more about how RubyGems.org security operates, how we proactively handled this incident (and others), and the work our team is doing each day to keep the ecosystem safe. How We Detect Malicious Gems RubyGems.org security uses a proactive a
Railsガイドと現場Railsを読んだ - 下林明正のブログ
Ruby on Railsに入門しようということで読んだ。 Railsガイド 通称Railsガイドらしい。 railsguides.jp Ruby on Rails Guidesをベースにしているということで信頼感がある。 かなりたくさんのページがあるので、Rails をはじめよう - Railsガイドを読んで、Rails をはじめよう - Railsガイドで紹介されているページを読んで、あとはトップページから読んでないページを適当に読んでいった。 色々良いページがあったけど、特に Rails セキュリティガイド - Railsガイド なんかはミスってると怖いということもあって読み応えがあった。 ちなみにちょっと前に、DashというmacOS向けドキュメント閲覧アプリ向けのドキュメントファイルの生成についても試行錯誤もしていた。 Dash用のDocsetを生成した際にレイアウトが崩れてしま
Ruby on Rails Audit Complete! – OSTIF.org
The Open Source Technology Improvement Fund is proud to share the results of our security audit of Ruby on Rails. Ruby on Rails (or “Rails”) is an open source full stack web-application framework. Thanks to the help of X41 D-Sec, GitLab, and the Sovereign Tech Agency, Rails can provide more secure versions of the tools needed for users to create database-backed web applications following the Model
Rails の隠れた堅牢性：SELECTクエリが自動リトライされる仕組み - inSmartBank
こんにちは、おはようございます、こんばんは、スマートバンクで顧客体験チームのエンジニアリングマネージャーをしている佐藤（@tmnbst）です。 Rails 7.1 以降 では、SELECTクエリが内部的に自動でリトライされる仕組みが導入されています。 このリトライ処理は、allow_retry という内部フラグによって制御されており、Railsが「これは安全（冪等）なクエリだ」と判断した場合に場合にのみ有効になります。 普段Railsを使っているだけではなかなか気づけないこの仕様ですが、ネットワーク切断やDBのフェイルオーバー時などの場面で効果を発揮します。 この記事では、Railsのコードを読みながら allow_retry の仕組みを紐解き、実際にどんな条件でリトライされるのかを検証してみます。 1. allow_retry とは何か 2. 内部処理解説 to_sql_and_bind
【Rails】Strong Parameter
コントローラーで許可された属性だけを明示的に許可する仕組み 指定した属性のみを更新できるようにすることで不正な属性の更新を防止できる # bad: すべての params を許可してしまう（危険！） @user = User.new(params[:user]) # good: permit で許可するキーだけを指定 @user = User.new(user_params) private def user_params params.require(:user).permit(:name, :email, :password, :password_confirmation) end params.require(:user) で必須のキーがなければ例外（ActionController::ParameterMissing）を投げ、早期にエラー検知ができる permit(...) で許可
Railsチュートリアル8章 超個人向けまとめ - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 8章です。 記憶定着 & どこまで思い出せるかチャレンジみたいなものですので、超個人向けまとめになります。 8章 基本的なログイン機構 8章でやること（ざっくり） ログイン画面を作る ログイン画面の入力内容からユーザーを特定し、それをブラウザのsessionに保存する session情報から、ユーザーがログイン中か？を判定できるようにする ログイン中かの判定により、表示内容を分岐させる 多少のjs操作 テストのリファクタリング（任意） など そもそも「ログイン機能を作る」とはなにをしたいのか？ まず、章のまとめに入る前に、ログイン機能と
DHHが考えるRailsのバリデーション設計
3行まとめ 単純なバリデーション（必須・範囲・文字数など）はHTMLとDB制約、CHECK制約があれば十分であるというのが最近のDHHの主張。 SQLiteではCHECK制約が少し貧弱なため、制約変更の可能性がある場合は従来通りアプリケーションでもバリデーションした方がいい。 Rails初心者はDHHの方法をそのまま採用するのはやめた方が良い。 調べたきっかけ 最近DHHがonce.comでのCampfireをはじめとしたプロダクトで、NULL制約やDB制約で防げるようなRailsのモデルのバリデーションを積極的には利用しないでいるという主張をしている。 DHHの主張を要約すると以下のようになる。[1] HTMLでのバリデーションが優れている 例えば、input type=“email” にしておくとブラウザで勝手にメールアドレス形式ではない場合にエラーにしてデータ送信をしないようにしてく
Railsセキュリティガイドのサマリ - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? Rails セキュリティガイド を他のリソースを参照して補足を追加しながらまとめなおしたもの。 Railsセキュリティガイド Railsセキュリティガイドは、以下についてに説明したマニュアル。 Webアプリケーション全般におけるセキュリティの問題 Railsでそれらの問題を回避する方法 TL;DR 2.セッション セッションハイジャックの対策 config.force_ssl = true よく目立つログアウトボタンの設置 古いcookieは定期的に無効化する（ローテーション） リプレイ攻撃の対策 cookieにセキュリティ上重要なデー
ソースコードを読んで理解するRuby on Rails のセッション管理
この記事は Ruby on Rails のセッション管理について、ソースコードを辿りながらその動作を説明したものです。ネタとしてはn番煎じではありますが Ruby on Rails でWebアプリケーション開発を行っている Rails のセッションは雰囲気で使っている。詳しくことは分かっていない そろそろ Rails のコードを読んでみたいがやり方がわからない or 他の人の読み方が知りたい という方にはご活用いただける内容です。 Bookにもまとめています 長い記事になるので Zenの Book にもまとめました。 内容は同じですので、お好きな方をご利用ください。 全体をざっと眺めたい方にはこの記事を、もう少し詳しく読みたい方にはBookがおすすめです。 時間がない方向けのまとめ 本記事はとても長い内容になっております。お忙しい方や内容をざっと確認したい方は、以下だけ読んでいただければ記
Bundler: Bundler v2.6: lockfile checksums are finally there
We’re happy to announce Bundler 2.6, featuring gem checksum verification, right in the Gemfile.lock file. This feature has actually been implemented for more than a year. However, it was merged very close to the Bundler 2.5 release and we did not yet have a good plan for enabling the feature in a graceful manner, so we’ve kept it hidden until now. Bundler 2.6 finally officially allows to opt-in in
【Rails】Active Record暗号化を試してみた
はじめに お疲れ様です。 おおくまです。 今回は、「【Rails】Active Record暗号化を試してみた」ということで、Active Record暗号化についてまとめてみました。 少しでも皆様の参考になりますと幸いです。 対象読者
1Password joins the Rails Foundation: Strengthening the community, empowering developers | 1Password
We’re excited to share some big news: 1Password is officially joining the Rails Foundation! And we’re not just joining – we’re going all in as a core member, standing shoulder to shoulder with companies that support the brilliant minds behind Rails, including some of our fellow Canadians. This is more than just a badge of honor for us; it’s a commitment to support the Rails ecosystem in the best w
Kaigi on Rails 2024 に「ActiveRecord SQLインジェクションクイズ (Rails 7.1.3.4)」というタイトルで登壇します - Classi開発者ブログ
こんにちは、ソフトウェアエンジニアの中村 ( id:kozy4324 ) です。 2024年10月25日 (金) から 26日 (土) に、東京の有明セントラルタワーホール & カンファレンスで開催予定の Kaigi on Rails 2024 にて、「ActiveRecord SQLインジェクションクイズ (Rails 7.1.3.4)」というタイトルで登壇させていただくことになりました。 今回は、このテーマを選んだ背景や、登壇を通じて達成したいことについて、事前にお伝えしようと思います。 Rails アプリケーション開発におけるセキュアコーディング、できていますか？ これは自戒の念を込めた問いかけでもあります。 昨年末、私は Ruby on Rails を使った新規サービス開発プロジェクトにジョインしました。それを機に、Rails におけるセキュアコーディングを再確認したいと思い、情報
クッキーにメールアドレスを保存することはセキュリティの観点から問題ないと思いますか？ （クッキーは暗号化されており、httpOnly、secureを適切に設定し、10分程度の有効期限にする場合） | mond
クッキーにメールアドレスを保存することはセキュリティの観点から問題ないと思いますか？ （クッキーは暗号化されており、httpOnly、secureを適切に設定し、10分程度の有効期限にする場合） セッション管理をCookieStoreと呼ばれる方式にすると、まさにそういう状況になります。CookieStoreはセッションの中身を暗号化してクッキーそのものに保存する方式であり、たとえばRuby on RailsだとデフォルトのセッションストアがCookieStoreとなります。この状態で、セッション変数にメールアドレスを保存すると、結果としてクッキーにメールアドレスを暗号化して保存したことになります。 CookieStore方式の問題点は、中身が暗号化されていても、クッキーが盗まれたらそれをブラウザに゙セットすることでセッションが再開でき、保存されているメールアドレス等が画面表示されることで
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://x.com/kenn/status/1810252795662275065
[Proposal] Improved support for binary gems · rubygems · Discussion #8645