Rails: ActiveRecord::Relationで生SQLは避けよう（翻訳）｜TechRacho by BPS株式会社
概要 原著者の許諾を得て翻訳・公開いたします。 英語記事: Avoid Writing SQL When Using ActiveRelation - Andy Croll 原文公開日: 2018/02/18 著者: Andy Croll 訳注: 原文のActiveRelationは訳文でActiveRecord::Relationに変更してあります。 ActiveRecord::Relationは、ActiveRecordの検索やクエリエンジンを強化する、柔軟で強力なツールです。 次のようには書かないこと ActiveRecord::Relationの#whereメソッド内で生SQL文字列を式展開（interpolation）で直接書く。 Person.where("name = #{ params[:name] } AND hidden_at IS NULL") これもやらないこと ?
機密情報の比較処理、secure_compareの実装について
ActiveSupport::SecurityUtils.secure_compareやRack::Util.secure_compareについてメモ。 文字列が等価であるかどうか確認するのにa == bという風に書くことが多い。 しかし、機密情報の比較にこの形式を用いると、処理に要する時間からアルゴリズムが特定されたり、機密情報自体が漏れる可能性がある（所謂、Timing Attack）。 例えば、クーポンや一時トークンの確認などではTiming Attackに気をつける必要がある。 通常の文字列比較の場合、1byte目から確認していき、文字列が異なる時点でFalseを返す実装が多いと思う。 'secret' == 'hoge' # F 'secret' == 'soge' # TF 'secret' == 'sege' # TTF ... 'secret' == 'secret' #
Adding GDPR Compliance to My Rails App and Technical Blog
Sponsorship I'm currently offering a sponsorship spot - reach over 20K monthly visitors across 90+ technical posts. Interested? Feel free to reach out—I'd love to work together! Contact me New data privacy GDPR EU regulations are going live in less than two weeks. In this blog post, I will describe actions I took to add GDPR compliance to my Ruby on Rails SAAS app and this blog itself. Your apps m
Railsでセキュリティ用ヘッダをまとめて付与secureheaders[Gem]
SecureHeaders::Configuration.default do |config| config.cookies = { secure: true, # mark all cookies as "Secure" httponly: true, # mark all cookies as "HttpOnly" samesite: { lax: true # mark all cookies as SameSite=lax } } # Add "; preload" and submit the site to hstspreload.org for best protection. config.hsts = "max-age=#{20.years.to_i}; includeSubdomains" config.x_frame_options = "DENY" config.
![Railsでセキュリティ用ヘッダをまとめて付与secureheaders[Gem]](https://cdn-ak-scissors.b.st-hatena.com/image/square/c2ea7e72d0d7f3ba6c237909f321e67ffbdaa24e/height=288;version=1;width=512/https%3A%2F%2Fmorizyun.github.io%2Fimg%2Fog_image.png)
Understanding the secret_key_base in Ruby on Rails
Have you ever wondered what the secret_key_base value is and how it’s used in a Rails application? This configuration value was introduced in Rails 4 and is usually defined on a per-environment basis. It’s purpose is simple: to be the secret input for the application’s key_generator method. This method is accessible through Rails.application.key_generator. The method accepts no arguments and retur
A Deep Dive into CSRF Protection in Rails
Updated in June 2019 to reflect code changes in Rails 6 If you’re using Rails today, chances are you’re using CSRF protection. It’s been there almost since the beginning, and it’s one of those features in Rails that makes your life easier without needing to give it a second thought. Briefly, Cross-Site Request Forgery (CSRF) is an attack that allows a malicious user to spoof legitimate requests to
4 Ways to Secure Your Authentication System in Rails
This article was originally published on Duck Type Labs by Sid Krishnan. With his kind permission, we’re sharing it here for Codeship readers. Authentication frameworks in Ruby on Rails can be somewhat of a contentious topic. Take Devise, one of the more popular options, for example. Critics of Devise point out, perhaps rightly so, that there is a lack of clear documentation, that it is hard to un
Rails4 で CSRF 対策を無効にする
Rails4 でCSRF 対策を無効にしたい場合、CSRF 対策を無効にするコントローラーで次のように指定します。 app/controllers/some_controller.rb protect_from_forgery except: :some_action protect_from_forgery except: [:some_action1, :some_action2]
Apartment でマルチテナントサービスを作成する - Qiita
2018-08-17 追記 数百テナント程度なら大きな問題なく利用できる一方、数千テナント規模になってくると migration コストが重くなってきました。 一つの解として SmartHR 社では citus という DB As a Service への移行を決めました。 詳しくはこちらのブログ記事をご参照ください。 SmartHR が定期メンテナンスを始めた理由とやめる理由 - SmartHR Tech Blog 概要 Rails でマルチテナントサービスを実現する apartment という gem を紹介します。 バージョン rails: 4.2.0 apartment: 1.0.0 マルチテナントサービス？ 1 つのサービスの中に複数のテナントが同居するサービスです。 例としては Qiita:Team や Trello などなど、企業やチームで利用する SaaS 型のサービスが想
Ginza.rb 第44回 Railsセキュリティチェックリスト
Ginza.rbは、銀座周辺のRuby技術者たちが集まってRubyに関する何かをする地域Rubyistコミュニティです。 銀座周辺にお勤めの方も、そうでない方も、ご興味あれば是非どうぞ！ 趣味や仕事でRailsを使われていて、アプリケーションのセキュリティ対策についても工夫されているかと思います。 今回は、Rails Security Checklist を題材に、みんなで知見を交換し合いたいと思います。 資料 Rails Security Checklist 自己紹介 勉強会の最初に自己紹介をしていただいてます。 そのときにプロジェクタで映しながらやりたいので、↓のことくらいをまとめた簡単な自己紹介をプルリクエストしてください。 今回の自己紹介置き場 例: 前回の自己紹介置き場 プルリクエストやった事無い！ という方は、こちらをご参考下さいー。 create pull request ·
Common Rails Security Pitfalls and Their Solutions — SitePoint
Stay Relevant and Grow Your Career in TechPremium ResultsPublish articles on SitePointDaily curated jobsLearning PathsDiscounts to dev toolsStart Free Trial7 Day Free Trial. Cancel Anytime. The Ruby on Rails framework does its best to keep you secure. However, as the official documentation suggests, there is no such thing as “plug-and-play security”. Therefore, it’s important to understand common
Brakeman Railsのセキュリティチェックを行うためのGem
『presidentbeef/brakeman - GitHub』は、 Railsのセキュリティの問題点等をコマンド1つでチェックしてくれるGemです。 企業等のサイト開発などでも気軽に使えるのでぜひ試してみてください。 bundle exec brakeman +BRAKEMAN REPORT+ Application path: /path/to/rails_app Rails version: 4.2.5 Brakeman version: 3.1.4 Started at 2016-01-18 23:46:28 +0900 Duration: 0.805318 seconds Checks run: BasicAuth, ContentTag, CreateWith, CrossSiteScripting, DefaultRoutes, Deserialize, DetailedE
Level Up Your Security in Rails
I am not a security expert, and the truth is that most other developers aren't either. I haven't created my own hashing or encryption algorithm, I don't know the inner workings of TLS, nor the different ciphers that are available, but that doesn't give me a free pass when it comes to protecting my users and their data. One amazing benefit to using a framework like Rails is that it pays a great dea
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Rails 앱에 audit log 활성화하기
How Much Does Meltdown/Spectre Patching Slow Down a Big Rails App? — Engineering Blog
CSRF protection on single page app API
nginx/Railsのセキュリティ対策メモ - Qiita
ActionCable under stress: Finding a DoS vulnerability in Rails 5 WebSockets Apps
Better Login Forms Without Security Risks
GitHub - capistrano-plugins/capistrano-secrets-yml: Handles deploying secrets.yml file with Rails 4.1+
