Rails セキュリティガイド | Rails ガイド
このマニュアルでは、Webアプリケーション全般におけるセキュリティの問題と、Railsでそれらの問題を回避する方法について説明します。 このガイドの内容: 本ガイドで取り上げられている問題に対するあらゆる対策 Railsにおけるセッションの概念、セッションに含めるべき項目、有名なセッション攻撃 Webサイトを開くだけで（CSRFによる）セキュリティ問題が発生するしくみ ファイルの取扱い上の注意、管理インターフェイスを提供する際の注意事項 ユーザーを正しく管理する（ログイン・ログアウトのしくみ、あらゆるレイヤにおける攻撃方法） 最も有名なインジェクション攻撃方法の解説 1 はじめに Webアプリケーションフレームワークは、Webアプリケーションの開発を支援するために作られました。フレームワークの中にはセキュリティを比較的高めやすいものもあります。実際のところ、あるフレームワークは他のよりも安
環境変数を設定するだけでRuby on Railsサーバが10%高速化する(かもしれない)話 - Akatsuki Hackers Lab | 株式会社アカツキ（Akatsuki Inc.)
この記事は Akatsuki Advent Calendar 2019 1日目の記事です。 はじめに アカツキでは Ruby on Rails を使ったゲームサーバを開発・運用しています。ゲームの体験を向上するために、レスポンスタイムは一つの重要な要素となるため、種々のパフォーマンスチューニングを行なっています。今回はその一例として、環境変数を1つ設定するだけで、あるAPIのレスポンスタイムが10%も改善した例をご紹介します。 TL;DR 多数の時刻を含むレコードを扱う Ruby on Rails サーバでは、 TZ 環境変数を設定することで、デフォルトタイムゾーン設定ファイル /etc/localtime へのアクセスが減り、高速化が図れるかもしれません。 効果は Time オブジェクト1個あたり数μsの短縮といったオーダーですが、チリも積もれば山となり、数千個のレコードを処理するAPI
RackとかRailsでリダイレクトとかがhttpsにならないとき - ぬまのそこ
今日したこと いろいろ 短文技術エントリは手抜き。 nginx => railsとかでhttpsをraislに飛ばすときに解く よくある構成だとおもう。 フロントのWeｂサーバまではHTTPSで飛ばして、最後のRailsにはHTTPでReverseProxyするってやつ。 そのときにHTTPヘッダをちゃんとNginxで設定しないとRails側がHTTPSで来た通信だということを認識しなくてうまく動かないのはよく知られた話。 X_Forwared_Proto htttps; とかはちゃんと書こうなって記事に引っかかる。 で。 これで引っかかった。 ちゃんと書いていたのにHTTPSと認識されなかったのは謎。 今回の問題は、 GoogleOmniauthのリダイレクトURLが何故かHTTPになってしまうということ。 コードを漁っていったら、Rackのschemeからhttpsかhttpかを取得し
Ruby on Railsの正体と向き合い方 / What is Ruby on Rails and how to deal with it?
Rails Developers Meetup 2019（2019/03/22 - 23）
クックパッド基幹システムのmicroservices化戦略 〜お台場プロジェクト1年半の軌跡〜 - クックパッド開発者ブログ
インフラストラクチャー部の青木峰郎です。 最近はDWH運用の傍ら、所属とまったく関係のないサービス開発のためのデザインスプリントをしつつ、 Java 10でgRPCサーバーを書きつつ、 リアクティブプログラミングを使った非同期オーケストレーション層を勢いだけで導入したりしています。 ですが今日はそれとはあまり関係なく、クックパッドの中核サービスであるレシピサービスの アーキテクチャ改善プロジェクト、「お台場プロジェクト」の戦略について話します。 これまで、お台場プロジェクトで行った施策について対外的に発表したことはあっても、 全体戦略について話したことはありませんでした。 その一番の理由は、正直に言って、プロジェクトオーナーであるわたしにもプロジェクト全体の姿が見えていなかったからです。 しかし現在プロジェクト開始から1年半が経過してようやく全貌が見えてきたので、すべてをお話ししようと思い
6.サーバーサイドの開発裏話 | GraphQLを本番投入して実感したメリットと課題 - 行灯Labo（アンドンラボ）｜JapanTaxi採用ブログ
こんにちは、JapanTaxi SREチームの水戸です。 インフラからアプリケーションまでサービスの安定性向上のための改善を日々行っています。 今年9月のリニューアルで、JapanTaxiアプリ向けのAPIにGraphQLを導入しました。この記事では実際にGraphQL導入したことで感じたメリットと課題を書いていきたいと思います。 現在のJapanTaxiアプリにおけるGraphQLの導入状況 今回は数年間開発を続けてきたアプリのリニューアルプロジェクトということで、既存部分を使いまわしている部分も多々あり全てのAPIを一斉に置き換えるのは難しい状況でした。そのためリリース時点ではアプリの変更に合わせて改修が必要になった参照系のAPIにのみGraphQLを導入しました。 リリース後は順次RESTからGraphQLに切り替えを進めており、一部では更新系でもGraphQLを使い始めています。
Railsのsession_idの決定方法を知る
Railsで作られたサイトにアクセスすると、_xxxxxxのような名前で中身が18ed7a9d5d10a4c25ac06be5254a9e6dのようなcookieを貰うと思います（剥き出しのクッキーが使われて無い限り）。この18ed7a9d5d10a4c25ac06be5254a9e6dのようなランダムな文字列がsession_idで、この値を元にActiveRecord Storeやその他のキーバリューストアの中に永続化したデータとユーザーがひもづけられています。Railsはこの18ed7a9d5d10a4c25ac06be5254a9e6dのような文字列をどのようにして決めているのでしょうか？ Rails以外のフレームワークでもRailsと肌合いの似たsession_idを出力してみるために、Railsのsession_idの決定方法を調べてみました。 Rails本体の中では、どこでs
404
© Copyright 2000-2020 salesforce.com, inc. All rights reserved. Various trademarks held by their respective owners. Salesforce.com, inc. Salesforce Tower, 415 Mission Street, 3rd Floor, San Francisco, CA 94105, United States
SSL integration with Devise How-To, Not Authenticating
I am using SSL Requirement to achieve the proper rediects with Devise. I am using custom devise controllers so I am able to drop in the ssl_required in them. Gemfile gem 'bartt-ssl_requirement', '1.2.7', :require => 'ssl_requirement' application_controller.rb class ApplicationController < ActionController::Base protect_from_forgery include ::SslRequirement I also customized the hostname for SSLReq
Railsのログに関する覚書き - Ruby Study Go
v 2.3.5で確認。 ログの出力方法をいろいろ設定したい config/environment.rbに記述 # ANSI制御シーケンスをログに出力しない config.active_record.colorize_logging = false # ログの出力先を変更 config.log_path=/var/log/appl.log # ログファイルのローテート config.logger = Logger.new(config.log_path, 'daily') # 日別 config.logger = Logger.new(config.log_path, 10, 1024 * 1024) # サイズ ちなみにenvironment.rbでは、ActiveSupportはまだ未ロードなので1.megabytesとかは使えない。 script/consoleで発行されるSQLを確認
ruby/rails/RailsGuidesをゆっくり和訳してみたよ/Active Record Validations and Callbacks - 株式会社ウサギィwiki
Active Recordのバリデーションとコールバック(Active Record Validations and Callbacks) † このガイドでは、Active Record オブジェクトのライフサイクルへのフックの掛け方を教えます。 データベースに保存される前にオブジェクトの状態を検証をする方法と、 ライフサイクルの特定の時点でカスタム操作を実行する方法を学べるでしょう。 このガイドを読んで、提示された概念を試した後、以下のことが出来るようになっていることを望みます： Active Record のオブジェクトのライフサイクルの理解。 組み込みの Active Record のバリデーションヘルパの使用。 カスタムバリデーションメソッドの作成。 バリデーションのプロセスによって生成されたエラーメッセージの動作。 オブジェクトのライフサイクル内のイベントに応答するコール
"devise with all the bells and whistles" を作ってみる - 発声練習
なんとなく使い方が分かってきたので、リベンジ：Rails 2.3RC1で”Restful Authentication with all the bells and whistles”をやってみるをdeviseでやってみる。ちなみに "with all the bells and whistles" はあんまり良い意味ではないみたい。 英語表現アラカルト：A Sewing Machine with All the Bells and Whistles チュートリアルの実施環境 % uname -a Linux pi 2.6.32-5-686 #1 SMP Thu Aug 12 13:38:27 UTC 2010 i686 GNU/Linux % more /proc/version Linux version 2.6.32-5-686 (Debian 2.6.32-20) (ben@dec
Home
Welcome to the Devise Wiki, where you'll find lots of additional information about Devise and answers to the most frequently asked questions. Getting Started Documentation (rubydoc) "How-To" Articles - 128 articles and growing! Bug reports - If you discover a problem with Devise, we would like to know about it! Contributing - We hope that you will consider contributing to Devise! Example Applicati
Railsの第4世代認証エンジンDeviseのREADMEを翻訳してみた - babie, you're my home
Devise の README は懇切丁寧だが、その分クソ長いので、読むのに疲れる。後続のために訳してみることにした。無保証。OAuth2 の部分は飛ばした。長いし。差し迫ったら訳します。 Devise Devise は Warden をベースにした Rails のためのフレキシブルな認証ソリューションです。 Rackベース Rails エンジンに基づいた完全な MVC ソリューション 1回の認証で複数のロールを持たせることができます あなたが必要な部分だけ使えるモジュラー構造というコンセプトに基づいています 以下の11のモジュールで構成されています： Database Authenticatable ユーザーがサインインする時に認証するためにパスワードをデータベースに暗号化し保存します。この認証は POST リクエストまたはBasic認証を通して行われます。 Token Authenti
Rails 3でユーザー認証とロールを実現 - テクノロジーと広義のデザイン！
Rails 3のユーザー認証のデファクトスタンダードがDeviseというのは以前の記事でご紹介しました。これに加えて、ユーザーロール（役割）が必要なときは、CanCanと組み合わせるとうまくいきます。例えば、通常のユーザー権限に加えて、管理者権限、ゲスト権限などなどを作りたいときですね。CanCanはこのユーザー種別ごとの権限を設定することができます。たとえば、管理者権限を持つユーザーのみがユーザーの削除を(User.destroy)を実行できるといったことです。チュートリアルはここが詳しいです。http://www.tonyamoyal.com/2010/07/28/rails-authentication-with-devise-and-cancan-customizing-devise-controllers/日本語のチュートリアルをあまり見かけないので、時間があったら書きたいと思い
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Google
Rails 3 strip whitespace before_validation on all forms
Peter Marklund's Home
https://www.tonyamoyal.com/2010/07/28/rails-authentication-with-devise-and-cancan-customizing-devise-controllers/
http://cds.rubyforge.org/