Rails SessionにCookieStore使った時の問題点 - OAuth.jp
今日 @mad_p さんからRT来てたこのツイートに関して、ちょっと調べたのでまとめときます。 Security Issue in Ruby on Rails Could Expose Cookies http://t.co/JlsXVEn4rZ — Ruby on Rails News (@RubyonRailsNews) September 25, 2013 前提条件 Railsではデフォルトでsessionをcookieにのみ保存して、DBなりmemcacheなりのserver-side storageには何も保存しません。 これがCookieStoreとか呼ばれてるやつです。 この場合のsession cookieは、Railsのsession object (Hash object) をMarshal.dumpしてそれに署名を付けたtokenです。 rails 4では署名付ける代
一部報道による「Ruby on Railsにcookie保存関連の脆弱性」について - Qiita
ITmediaの記事が微妙だったので調べて見たのん。(面倒なので箇条書き) 元ネタ Ruby on Railsにcookie保存関連の脆弱性、2000サイトで放置状態 (ITmedia) Ruby on Rails CookieStore Vulnerability Plagues Prominent Websites (原文) 何が問題とされているか (記事の主張) デフォルトでは、cookieにセッションのハッシュ (データ) を保持している。(CookieStore) Rails 2-3の場合は秘密鍵で署名されている = 書き換え不可 Rails 4の場合は暗号化されている = 書き換え・内容の読み取り不可 Cookieを読み取られる可能性がある。 XSS セッションサイドジャッキング: うっかりSSLではない通信をさせると、Rails3以前では機密情報が漏洩する可能性がある。(Ki
Rails4 でセッションストアに DynamoDB を使う | DevelopersIO
2ヶ月以上前ですが、Rack アプリケーションで DynamoDB を セッションストア用として使うための gem が公開されていました。 DynamoDB Session Store for Rack Applications Rails だと ActiveRecord のセッションストアがありますが、RDB なので、どうしても気になるのは負荷と障害ですね。 そんな時は、スケーラブルかつ耐障害性に優れた DynamoDB を使って解決しましょう。 *1 ということで、Rails4 で DynamoDB をセッションストアとして使う方法を試してみました。 Rails アプリケーションの作成 先ずは Rails アプリケーションの作成です。 $ mkdir try_dynamodb_sessionstore && cd try_dynamodb_sessionstore $ bundle i
RailsのセッションストアにRedisを使う - ひげろぐ
レプリケーションとかが簡単そうなセッションストアということでRedisを使ってみることにした。 Redisのインストール まずはRedisのセットアップから。 Chefで。ひとまずVagrantの環境に対して。 RedisのCookbook ふたつ見つけた。 chef-redis redisio READMEの設定例などが親切だったので、とりあえずredisioの方を使ってみることにした。 Berksfileの編集 いつものごとくBerkshelfを使う。 cookbook 'redisio' Vagrantfileの編集 chef.add_recipe "redisio::install" chef.add_recipe "redisio::enable" Vagrantのバージョンは1.3.5。 Vagrantへの反映 vagrant provision こんなかんじでRedisのイン
Rails で、Controller に定義されている action を一度に取得する方法はありますか？ - QA@IT
平素よりQA＠ITをご利用いただき、誠にありがとうございます。 QA＠ITは「質問や回答を『共有』し『編集』していくことでベストなQAを蓄積できる、ITエンジニアのための問題解決コミュニティー」として約7年間運営をしてきました。これまでサービスを続けることができたのは、QA＠ITのコンセプトに共感をいただき、適切な質問や回答をお寄せいただいた皆さまのご支援があったからこそと考えております。重ねて御礼申し上げます。 しかしながら、エンジニアの情報入手方法の多様化やQAサービス市場の状況、＠ITの今後のメディア運営方針などを検討した結果、2020年2月28日（金）15:00をもちましてQA＠ITのサービスを終了することにしました。 これまでご利用をいただきました皆さまには残念なお知らせとなり、誠に心苦しく思っております。何とぞ、ご理解をいただけますと幸いです。 QA＠ITの7年間で皆さまの知識
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
