Rails SessionにCookieStore使った時の問題点 - OAuth.jp
今日 @mad_p さんからRT来てたこのツイートに関して、ちょっと調べたのでまとめときます。 Security Issue in Ruby on Rails Could Expose Cookies http://t.co/JlsXVEn4rZ — Ruby on Rails News (@RubyonRailsNews) September 25, 2013 前提条件 Railsではデフォルトでsessionをcookieにのみ保存して、DBなりmemcacheなりのserver-side storageには何も保存しません。 これがCookieStoreとか呼ばれてるやつです。 この場合のsession cookieは、Railsのsession object (Hash object) をMarshal.dumpしてそれに署名を付けたtokenです。 rails 4では署名付ける代
Railsでのサインイン・サインアウトの実装 - プログラミング的なSomething
サインインを永続化する サインインを永続化して、サインアウトしたときにセッションを削除するシステムを考えます。 cookieと認証のためのモジュールであるSessionsHelperを用います。 SessionsHelperモジュールをアプリケーションコントローラにインクルードする アプリケーションコントローラとはapp/controller/application_controller.rbです。 すべてのヘルパーはビューで使用できますが、コントローラで使用するため、アプリケーションコントローラにincludeします。 include SessionsHelper 伝統的なセッション保持方法 HTTPはステートレスなプロトコルです。そのため、ページ遷移を追跡してセッションを保持します。以下のように固有のIDをcookieに保存します。 session[:remember_token] =
RailsのCookieStoreの脆弱性について
RailsのCookieStoreの脆弱性についていくつか報告記事が出ていたので、内容を検討してみました。 Ruby on Railsにcookie保存関連の脆弱性、2000サイトで放置状態 http://www.itmedia.co.jp/enterprise/articles/1311/27/news041.html Rails SessionにCookieStore使った時の問題点 http://oauth.jp/blog/2013/09/26/rails-session-cookie/ 読み合わせていくと、以下のような問題があるようです。 -Cookieの情報が抜かれることによって、セッションをハイジャックされる可能性がある --Rails 2系にはXSS脆弱性からCookieの情報が抜かれる可能性がある --Rails 3/4系でもCookieが盗聴される場合は危険 -セッション
Ruby on Rails4のSessionをJSON形式にした時にハマったこと
HOMEchevron_right技術chevron_rightRuby on Rails4のSessionをJSON形式にした時にハマったこと 状況 Ruby on RailsとNode.jsでセッションデータを共有したい状況がありました。 Session StoreにはRedisを使っています。 普通に考えると、クッキーからセッションID取って当てに行けばいけるだろうと考えるのですが、Railsは一筋縄ではいきません。 中身覗くとすぐ分かるんですが、セッションデータ自体がMarshalでシリアライズされた状態で保持されている為。 Node側でデータとってもJSONでパースできないし、なんだこりゃ？となります。 さてどうするか、となった時に参考にさせていただいた記事がこちら(感謝)↓ Rails sessionのシリアライズにJSONが使われない理由: なぜMarshal? JSON/Y
Rails で、Controller に定義されている action を一度に取得する方法はありますか？ - QA@IT
平素よりQA＠ITをご利用いただき、誠にありがとうございます。 QA＠ITは「質問や回答を『共有』し『編集』していくことでベストなQAを蓄積できる、ITエンジニアのための問題解決コミュニティー」として約7年間運営をしてきました。これまでサービスを続けることができたのは、QA＠ITのコンセプトに共感をいただき、適切な質問や回答をお寄せいただいた皆さまのご支援があったからこそと考えております。重ねて御礼申し上げます。 しかしながら、エンジニアの情報入手方法の多様化やQAサービス市場の状況、＠ITの今後のメディア運営方針などを検討した結果、2020年2月28日（金）15:00をもちましてQA＠ITのサービスを終了することにしました。 これまでご利用をいただきました皆さまには残念なお知らせとなり、誠に心苦しく思っております。何とぞ、ご理解をいただけますと幸いです。 QA＠ITの7年間で皆さまの知識
Railsのセッションの仕組みと使い方(session[:hoge]) Ruby on Rails Pro
次のページ カテゴリへ戻る Railsのセッションの仕組みと使い方(session[:hoge]) 更新日 2009/07/17 作成日 2008/07/17 セッションとは、サーバーがリクエストしてきた相手を特定する為の技術です。Webサイトには複数の人がアクセスしてきます。 ショッピングサイトでは商品を買い物かごに入れたのが誰なのか管理できている必要があります。ログインが必要なサイトでは、すでにユーザーID、PASSが正しく入力されログインされているユーザーなのか判断できる必要があります。 このようなサイトではセッションを使い管理します。 セッションの仕組みを簡単に説明します。サーバー側がセッションを開始するプログラミングをすると、ユニークなIDがサーバー側に記憶され、同時に同じIDでクライアント側に返されます。このIDはその後の同サイトのリクエストに必ず送信されるようになり、
セッションの意味とRailsでのセッションの使い方：プログラミングの基礎知識 - 久保清隆のブログ
セッションとは セッションとは、サイトに訪問してから離脱(＝セッションが切れる)するまでの一連の行動のこと。 ここでいう「行動」とは、サイトを訪問してから離脱するまでのサイト内のページの閲覧や遷移などを指す。 セッションの使い方（Rails） セッションを使うと、ユーザーが画面遷移してもユーザー特有の情報を失わないようにできる。 現在のセッション情報を得る →sessionメソッドを使う session #=> #<CGI::Session:0x40a1df48... セッションIDを取得する →session_idメソッドを使う session.session_id #=> "f1174c1766ejifjojpsjifjojgbiojsj" セッションにデータを保存する session[:user_id] = @user.id違うページでユーザーデータを取得するには、 @user =
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
