Route 477(2009-10-13)
■ [rails] Rails3に「デフォルトでHTMLエスケープする機能」が入ったらしい ERBでは「<%= foo %>」がエスケープなし、「<%= h foo %>」がエスケープありですが、 Rails3のtrunkで、デフォルトでHTMLエスケープを行う機能が入ったそうです。 Riding Rails: What's New in Edge Rails 安全のために「<%= foo %>」の方をエスケープありにすべきだろうという議論は前からあって、 実装もErubis(オプションで可能)とか SafeERB*1 *2とか あったわけですけど、できればRails標準でそうなってた方が良いし、その変更を入れるなら確かにバージョン2→3の今しかない気がします。 エスケープを無効にするにはString#html_safe!を呼ぶか、プラグインで「<%= raw foo %>」のように書ける
A Lesson In Timing Attacks (or, Don’t use MessageDigest.isEquals)
A Lesson In Timing Attacks (or, Don’t use MessageDigest.isEquals) 13 Aug 2009 Timing attacks are pretty horrible from the perspective of someone trying to write a secure cryptosystem. They work against a programmer’s best instincts—don’t do extra work—to give an attacker with access to a Statistics 101 textbook a good solid grip on your application’s guts. How the hell does that work? In short, a
Ruby スクリプトでデータを暗号化する方法 - WebOS Goodies
本日は、 Ruby の OpenSSL バインドを利用してデータを暗号化する方法をご紹介します。というのも最近、自宅サーバーにある各種データを Web 上のサービスに移動しようと画策していまして、その際にプライベートなデータは暗号化して保存したいのです。ほとんどの Web API は暗号化なしの HTTP で通信しますし、いくらパスワードで保護されているとはいえ、他所の HDD にプレーンな状態で保存するのは不安ですからね。 それ以外でもスクリプトで暗号化の処理をしたい場面はいろいろあると思います。そんなときは、ぜひ参考にしてください。 それでは、まずは暗号化の処理から。 OpenSSL はさまざまな暗号化アルゴリズムをサポートしていますが、ここではリファレンスでも推奨されている AES-256-CBC を使うことにします。ひとつの文字列（バイト列）を暗号化する関数は以下のようになります。
OpenIDを実装したソースコードを読もう （1/3）－ ＠IT
第5回 OpenIDを実装したソースコードを読もう 倉貫 義人 松村 章弘 TIS株式会社 SonicGarden 2009/6/3 優れたプログラマはコードを書くのと同じくらい、コードを読みこなせなくてはならない。優れたコードを読むことで、自身のスキルも上達するのだ（編集部） 前回までは、Ruby on Railsの基本部分についてコードリーディングを行ってきました。 今回からは、より魅力的なWebアプリケーションを実現するために必要なさまざまな技術をRailsで活用したソースコードを読むという、さらに実践的な内容に入っていきます。 今回取り上げる技術要素はOpenIDです。GoogleやYahoo!、mixiなどの大手サービスがOpenIDに対応したことで話題になったので、聞いたことがある方は多いのではないでしょうか。 OpenIDとは、とある1つのIDを持っていれば、複数のWebアプ
Plugins - Safe ERB - Agile Web Development
Overview Safe ERB lets you make sure that the string written by "<%= %>" in your rhtml template is escaped correctly. If you try to show the attributes in the ActiveRecord instance read from the database or the parameters received from the request without escaping them using "h" method, an exception will be raised. This will significantly reduce the possibility of putting cross-site scripting vuln
にっき(2006-09-26)
_ tDiary 用 CAPTCHA プラグイン＆フィルタ ダウンロード - comment_captcha.rb captcha.rb tDiary でコメント投稿時に CAPTCHA による画像認証を行うプラグインです。TRYNT CAPTCHA Web Service を使用しています。 インストール方法は、comment_captcha.rb を plugin ディレクトリに、captcha.rb を filter ディレクトリに入れて、tdiary.conf に以下の設定をしてください。 @options['captcha.secret'] = '秘密の言葉' 「秘密の言葉」には任意の文字列が使用できます。これを設定しないと脆弱になりますので、必ず設定してください。「秘密の言葉」はユーザーには公開されません。 どのように表示されるかは、この日記の日毎表示をご参照ください。なお、s
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
local-openid: Single User, Ephemeral OpenID Provider
http://svn.techno-weenie.net/projects/plugins/white_list/
http://www.quarkruby.com/2007/9/20/ruby-on-rails-security-guide
