Rails SessionにCookieStore使った時の問題点 - OAuth.jp
今日 @mad_p さんからRT来てたこのツイートに関して、ちょっと調べたのでまとめときます。 Security Issue in Ruby on Rails Could Expose Cookies http://t.co/JlsXVEn4rZ — Ruby on Rails News (@RubyonRailsNews) September 25, 2013 前提条件 Railsではデフォルトでsessionをcookieにのみ保存して、DBなりmemcacheなりのserver-side storageには何も保存しません。 これがCookieStoreとか呼ばれてるやつです。 この場合のsession cookieは、Railsのsession object (Hash object) をMarshal.dumpしてそれに署名を付けたtokenです。 rails 4では署名付ける代
Rails で (Rack の) セッション情報を Cookie に保存する仕組み - Qiita
Rails では特に (config/initializers/session_store.rb などで) 設定しない場合、セッションの情報をクライアントの Cookie に直接、(事実上) 平文で保存する。 実際に見てみよう。 $ rails new todo $ cd todo $ rails g scaffold tasks name $ rake db:migrate $ rails s # app/controllers/application_controller.rb class ApplicationController < ActionController::Base protect_from_forgery before_filter do # アクセスした日時を session に保存 session[:last_accessed_at] = Time.now end
Cookie仕様 日本語訳
Cookieの仕様は、Netscape Communications Corporation が、 http://wp.netscape.com/newsref/std/cookie_spec.html で公開しております。このドキュメントをfutomiが日本語化したものです。みなさまのCookieの理解に役立てれば幸いです。なお、緑色で記載された文章は、futomiが注釈として加筆したものです。また、一部、直訳ではなく、意訳した部分がございます。原文と表現がことなることがございますので、ご了承ください。 注意: この日本語訳は、futomiがCookieの理解を深めるために、自分なりに日本語にしたものです。本日本語訳には、翻訳上の誤りがある可能性があります。したがって、内容について一切保証をするものではありません。正確さを求める場合には、必ず原文を参照してください。当方は、この文書によっ
Ramazeでのセッションクッキー削除 - はてなかよっ！
ソースを見てとりあえず下のような感じ(この辺はRack依存)． session.drop! response.delete_cookie(Ramaze::Session::SESSION_KEY) session.drop!を呼ぶと，Ramaze::Sessionのdroppedの属性がtrueになる．すると，currentがcallされたときにsession.finishが呼ばれるけども，クッキーの設定をすることなくfinishを終えるため，結果削除出来る． もう少し綺麗に出来ないかと思っているのだけど，そうそうこちら側で消すこともないのかなぁと． Ramazeの公式サイトが復活しないのは何でなんだろうか．jaの方の更新ががが
Cookieを利用したセッション維持(Sticky)の問題点
ロードバランサーの機能のうち、セッション維持は重要な役割な一つです。セッション維持を実現するための方法としては主に4つあります。 ソースIPアドレス利用 Cookie利用 SSL Session ID利用 URL利用 一番手軽なのはソースIPアドレスを利用する方法なのですが、NAT(Network Address Translation)環境では全てのマシンが同じIPアドレスに見えてしまうのでこの方法が使えない場合も多いと思います。そんなわけで私はこれまでCookieを利用する方法をよく使っていました。しかし最近になってCookieを利用したセッション維持が失敗するケースが増えてきました。それはなぜでしょうか？ Cookieを利用する方法の問題点 Cookieを利用したロードバランスでは、セッション情報をCookieに書き込みます。ところでCookieの仕様をRFC2965で確認してみると
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
