मैं रेल में डिफ़ॉल्ट रूप से कुकीज़ को सुरक्षित (https-only) कैसे बना सकता हूं?

Question

एक रेल नियंत्रक में, मैं इस तरह एक कुकी सेट कर सकता हूं:

cookies[:foo] = "bar" 

और निर्दिष्ट करें कि "सुरक्षित" (https-only) ध्वज इस तरह से हो सकता है:

cookies[:foo, :secure => true] = "bar" 

:secure झूठा है चूक। डिफ़ॉल्ट रूप से, एप्लिकेशन-व्यापी से कुकीज़ कैसे सुरक्षित हो सकती हैं?

यह रेल पर है 2.3.8

Answer 1

धन्यवाद @knx, तुम मुझे क्या करना भेजा सही रास्ता wn। यहां क्लिक किया गया बंदरगाह है, जो काम करता प्रतीत होता है:

class ActionController::Response 
    def set_cookie_with_security(key, value) 
    value = { :value => value } if Hash != value.class 
    value[:secure] = true 
    set_cookie_without_security(key, value) 
    end 
    alias_method_chain :set_cookie, :security 
end 

आपको क्या लगता है?

Answer 2

त्वरित और गंदे समाधान ऑन रेल्स है: मुझे लगता है कि यह कार्रवाई पैक कुकीज़ मॉड्यूल में [] = विधि को संशोधित करके संभव है (actionpack/lib/action_controller/cookies.rb)

से:

def []=(name, options) 
     if options.is_a?(Hash) 
     options = options.inject({}) { |options, pair| options[pair.first.to_s] = pair.last; options } 
     options["name"] = name.to_s 
     else 
     options = { "name" => name.to_s, "value" => options } 
     end 

     set_cookie(options) 
    end 

रहे हैं:

def []=(name, options) 
     if options.is_a?(Hash) 
     options.merge!({:secure => true}) 
     options = options.inject({}) { |options, pair| options[pair.first.to_s] = pair.last; options } 
     options["name"] = name.to_s 
     else 
     options = { "name" => name.to_s, "value" => options } 
     end 

     set_cookie(options) 
    end 

Answer 3

रेल 3.1 के साथ शुरू, the rails security guide के अनुसार, तो आप बस सेट कर सकते हैं अपने application.rb में निम्नलिखित:

config.force_ssl = true 

इस बलों कुकी केवल पर भेजा जा करने के लिए https (और मैं भी सब कुछ मान,)।

Answer 4

# session only available over HTTPS 
ActionController::Base.session_options[:secure] = true 

Answer 5

ActionController/ActionDispatch monkeypatch की कोई जरूरत नहीं है, और force_ssl दुष्प्रभाव न हो (उदा जब behind an ELB)।

सुरक्षित कुकीज़ प्राप्त करने के लिए सबसे सरल तरीका config/initializers/session_store.rb संशोधित करने के लिए है:

MyApp::Application.config.session_store :cookie_store, key: '_my_app_session', 
                 secure: Rails.env.production? 

Answer 6

आप रैक ssl-एनफोर्सर मणि पर गौर करना चाहिए। मैं बस इसके लिए एक साफ जवाब ढूंढ रहा था और यह उस रेल के किस संस्करण से स्वतंत्र है, जिससे आप बेहद विन्यास योग्य हैं।