Rails 2.0のセキュリティ面の変更点

ランプの中身(Ruby on Railsのシステム開発): ランプの中身(Ruby on Railsのシステム開発)では、株式会社ケイビーエムジェイのRuby on Railsエンジニアが蓄積したノウハウを公開しています。Ruby on Railに関する技術解説や実践的なノウハウなど、開発現場の技術に則したコンテンツを随時追加していきます。初心者の方でもわかりやすい技術解説を心がけています。リクエスト、ご質問も受け付けいますので、お気軽にコメントを記述して下さい。

< aptanaでrai... | メイン | ローカルメールサーバーでRailsでのメ... >

: 2007.12.28; Rails 2.0のセキュリティ面の変更点

　Rails 2.0でセキュリティ面での変更があったのでチェックしてみました。

1.CSRF 対策

　 protect_from_forgery :secret => 'my-little-pony', :only => :index

とか書くだけでいいらしい。

　ただ、セッションIDからセキュリティトークンが作られているみたいだから、それで万全なのかな～という気がする。　ちゃんとCSRF対策するなら、独自で書かないと駄目だね。

2.サニタイズ方式の変更

　 TextHelperのsanitize関数のタグの指定の方法がブラックリスト方式からホワイトリスト方式に変わりました。

　要は許されたタグと属性以外は使えないことになります。

全体では

Rails::Initializer.run do |config|
config.action_view.sanitized_allowed_tags = 'table', 'tr', 'td'
config.action_view.sanitized_allowed_attributes = 'id', 'class', 'style'
end

個別では

<%= sanitize @article.body, :tags => %w(table tr td), :attributes => %w(id class style) %>

と設定します。

コメント (0) |トラックバック (0)