今年の2月末に、Ruby on Railsに潜在的なリモートスクリプトインジェクションの脆弱性CVE-2016-2098が報告されています。攻撃コード(PoC)も公開されていますが、現実の攻撃が行われているという発表はないようです。この脆弱性の内容と対策について報告いたします。 背景 Hello Worldのような以下のシンプルなアプリケーション（コントローラ）を考えます。 class HelloController < ApplicationController def index render 'hello/hello' end end これに対するテンプレート hello/hello.html.erb は以下だとします。 <div>Hello world</div> ご覧のように、上記テンプレートを指定した場合、Hello worldが表示されます。 次に、以下のテンプレート hel

Rails で Markdown をレンダリングするとき、Qiita みたいにコードブロックにファイル名をつけられるようにしたいな。と思って拡張を書き始めましたが、よく考えたら Qiita::Markdown そのものが公開されているので、それを使わせてもらうのが一番よさそうじゃん！というお話です。 Rails のバージョンは現時点で一番新しかった 4.2.0rc2 を使いました。 事前に準備しておかないと、とか考えてるからお前はいつまでたってもそこから動けないんだよ Python が必要だからインストールしたいって？その節穴の目をいますぐ潰したほうがいいんじゃないか？よく見ろ、もう入ってるだろ？ Qiita::Markdown はコードのシンタックスハイライトに pygments.rb を使っているので、Python のツールである Pygments をインストールする必要がある、と思う

Photo by Gonzalo Baeza | Flickr - Photo Sharing! RailsでJSONを返すAPIを作成し、また、APIのテスト方法も説明します。 JSONを返すAPIは、RailsのActiveSupportより拡張されたto_jsonメソッドとDMMが開発したjbuilderというGemを使います。 APIのテストにはおなじみのRSpec3を使います。 動作確認 Rails 4.1.7 jbuilder 2.2.6 rspec-rails 3.1.0 factory_girl 4.5.0 目次 1. 前提条件 2. APIの作成 2.1. 1つのコントローラーでHTMLやJSONを返すAPI 2.2. JSONのみを返すAPI 2.3. APIのバージョニング 3. APIのテスト 3.1. テストファイルの準備 3.2. 一覧(index)APIのテス

私たちの救世主DHH™は最近の Full Stack Radioのインタビュー で、 Basecamp の最新版で彼がどのようにRailsのコントローラを書いたかを説明しています。下記は、彼のすばらしい話を書き取ったものです。 これまでに思うようになってきたのは、「RESTの原則に従うには、どのタイミングで新たなコントローラを作るべきかを一度決めたら、ほぼ異例なくその原則を遵守するべきだ」ということです。いつだってその方がうまくいくんです。自分の作ったコントローラの状態を悔やむのは決まって、作ったコントローラの数が少なすぎた時です。多くの処理を任せようとしすぎてしまうんです。 そこでBasecamp 3では、ある程度理にかなったサブリソースがあれば、毎回コントローラを分割していきます。フィルタなどの場合ですね。例えば画面があって、それがある状態になっているとします。もしこれにいくつかのフィ

(訳注: 2016/3/2、頂いたフィードバックをもとに記事を修正いたしました。) Ruby on Railsは最近、急激に注目を集めていますが、その原因はほとんど、この言語が斬新なテクノロジーとしてもてはやされたことと、タイミングにあります。技術的な優位性は時間の経過とともに失われますから、タイミングがよかっただけでは、一過性のブームに終わり、このムーブメントの隆盛は長続きしません。従って、「Railsがいかにして、適切な技術としての位置を維持し続けるるだけでなく、影響力とコミュニティを拡大し続けてきたのか」をより多くの人に説明していく必要があります。そして、その維持・拡大を可能にした/していく要因は、物議を醸すことさえあるRailsの基本原則にあると考えています。 この基本原則はここ10年ほどの間に進化を続けてきましたが、最も強固な柱となっているルールはやはり、公開当初から制定されてい

赌场直营网涂彩玛EMC体育官方成立于2008年02月05日，注册地位于赌场直营网28pc集团区上28大神专业版APP工业城三区霍达三路，法定代表人为费常华。经营范围包括快乐八全站登录五金塑料1.5分赛车、硅胶1.5分赛车、家庭用品。（依法须经批准的项目，经相关部门批准后方可开展经营活动）〓 公司名称：赌场直营网涂彩玛EMC体育官方 法人代表：费常华 注册地址：赌场直营网28pc集团区上28大神专业版APP工业城三区霍达三路 所属行业：橡胶和塑料1.5分赛车业 更多行业：日用塑料1.5分赛车制造,塑料1.5分赛车业,橡胶和塑料1.5分赛车业,制造业

技術に精通した コンサルタント が併走 経験豊富なアドバイザー 元ITエンジニア、元ゲーム企業人事、 IT会社役員、大手人材エージェント

International Company with Leading Solutions The company was founded in 2003 by a group of serial entrepreneurs with a proven Leading Developer of Integrated Solutions Based on many years of experience in the online entertainment segment, we have designed and

2015-06-19 Railsチュートリアルを元にヒッチハイクマッチングアプリを作った Rails チュートリアル Ruby on Rails 先日、Railsチュートリアルを終えてTwitterみたいなアプリを作りました。 それを元にしてちょっと機能を付け加えて、ずっと作りたかった「ヒッチハイクのマッチングサービス」のしょぼいバージョンを作りました。乗せてもらえば？という名前です。 Twitterを原型にする意味はないですが、とりあえず作りたかったです。笑 Ruby on Rails Tutorial Sample App 暇な方はちょっとつついて、感想いただければ嬉しいです！ 社員さんにレビューを貰った感想 できたアプリをエンジニアの社員さんにレビューしてもらったので、そこで感じたことをまとめておきます。 サービスを作る過程での思考を見られていた ぼくの中で、エンジニアってどちらかと

このマニュアルでは、Webアプリケーション全般におけるセキュリティの問題と、Railsでそれらの問題を回避する方法について説明します。 このガイドの内容: 本ガイドで取り上げられている問題に対するあらゆる対策 Railsにおけるセッションの概念、セッションに含めるべき項目、有名なセッション攻撃 Webサイトを開くだけで（CSRFによる）セキュリティ問題が発生するしくみ ファイルの取扱い上の注意、管理インターフェイスを提供する際の注意事項 ユーザーを正しく管理する（ログイン・ログアウトのしくみ、あらゆるレイヤにおける攻撃方法） 最も有名なインジェクション攻撃方法の解説 1 はじめに Webアプリケーションフレームワークは、Webアプリケーションの開発を支援するために作られました。フレームワークの中にはセキュリティを比較的高めやすいものもあります。実際のところ、あるフレームワークは他のよりも安

こんにちは。akiinyoです。 今日は私がとってもお世話になっている「Ruby on Rails チュートリアル」をご紹介します。 すでにご存知の方も多いと思いますが、お付き合いください！特に初学者の方へおすすめな取り組み方をご紹介しようと思います。 Rails チュートリアル とは？Michael Hartl (マイケル・ハートル) 氏によって書かれた、Ruby on Rails のチュートリアルです。 原著は英語ですが、安川 要平氏、八田 昌三氏を中心に翻訳作業が進められ、 HTML・電子書籍ともに日本語版が提供されています。 第1章のはじめに「本書の目的は、単に Rails を教えることではではなく、Rails を使った Web アプリケーションの開発を教えることです。」とあるようにRailsの知識だけでなく、バージョン管理や「テスト駆動開発」という開発手法まで幅広くカバーされてい

Ruby on Rails チュートリアル プロダクト開発の０→１を学ぼう Railsチュートリアルとは？

Google に入社 僕がスウェーデンに留学していた2002年のある日、ある中国系スウェーデン人の友人の女の子が嬉しそうに話しかけてきた。 「ダイスケ、聞いて！私、Google でインターンすることになったの。私、カリフォルニアに行くわ！」 僕は、ぽかんとした。で、いったいGoogle で何をするの？ 「マーケティングよ！」 でも、Google ってただの白いページでしょ。みんなもう使ってるし、何をどうマーケティングするの？ 「わかんない！でも、面白そうじゃない？」 振り返ってみると、この頃すでに Google は 検索連動型広告AdWords の販売を開始していて、この2年後にはIPOをする。当時の僕にはまったく知る由もなかったが、新しいファンクションがどんどん立ち上がって当然エキサイティングな時期であったろう。 この5年後、カリフォルニアから来日する Google のディレクターのイン

はじめに: 遠回りせずに「近道」を探す RubyやRailsを始めたばかりの人は、もっと短く書く方法や便利な標準ライブラリの存在を知らずに遠回りした書き方をしてしまいがちです。 そこで、RubyやRails初心者の人によく見かける「遠回り(または車輪の再発明)」と、それを回避する「近道」をいろいろ集めてみました。 2013.11.06 追記 この投稿を書くに至った経緯などを自分のブログに書きました。 こちらも合わせてどうぞ！ 昨日Qiitaに投稿した記事は普段のコードレビューの副産物 - give IT a try Ruby編 以下はRubyの標準機能を使ったイディオムやメソッドです。 Railsプロジェクトでもそれ以外でも使えます。(Ruby 1.9以上を想定) 後置ifで行数を減らす

Ruby on RailsのメジャーバージョンアップとなるRails4のリリースが近づいて来ました。先日、日本人（あるいはアジア人）として初めてRailsコアチームのコミッタとして迎え入れられた松田明氏によると、Railsの生みの親であるDavid Heinemeier Hansson氏（以下、通称のDHHを使います）は、プロジェクトをリードするという意味で活動が活発になっているそうです。 そして最近のDHHは、ブログもよく書いています。彼は歯に衣着せぬ発言でも知られています。強い主張を持った（opinionated）なフレームワークの作者らしく、DHH自身もきわめてハッキリと物を言います。攻撃的とまでは言いませんが、IT業界や技術動向などでは割と何かをクソミソにけなしたりということをします。 DHHが何かをけなすときは、だいたい何らかの鋭い洞察とパンチの効いた皮肉が含まれていて、Twit

こんにちは、＠IT編集部の西村賢です。IT系のオンラインメディアで編集・記者をしております。タイトルに「ど素人」と書くと、ちょっと嘘になるので「素人」と書きましたが、素人がWebアプリを作ってみた体験談と感想を書いてみたいと思います。「オレもプログラミングを勉強して何か作ってみたい！」と考えている人や、「自分でサーバを借りて何かやってみようと思っていたんだよね」という人の参考になれば幸いです。 去年の夏、Webアプリケーション開発フレームワークのRuby on Railsのことを調べていて「面白そうだな」と思い、ドキュメントに従ってサンプルアプリをいくつか作ってみました。作ったり壊したりしている間に、こう思いました。 「あれ？ これなら自分が欲しかったサービスが作れちゃうんじゃないの？」 で、「Worklista」（ワークリスタ）という名前のWebサービスを作りました。3カ月ほど前から親し

オライリーが主催するイベント「Open Source Convention 2011」が7月25日から米国ポートランドで開催されました。 その中で、TwitterがなぜRuby on RailsベースのシステムをJavaVMベースへ移行しようとしているのかを解説したセッション「Twitter: From Ruby on Rails to the JVM」が行われ、ビデオが公開されています。 13分程度の短いセッションのポイントをまとめて紹介します。 世界最大のRuby on RailsによるWebサイトをJavaVMへ移行 Twitterのアプリケーションサービスグループ、Raffi Krikorian氏 Twitterは世界中からのツイートをリアルタイムで扱っている。リアルタイム処理が、ツイッターにおけるもっとも難しい処理だ。 Twitterは、おそらく世界最大のRuby on Rail