ruby-on-rails – rails“secret_token”对config.session_store
发布时间：2020-12-17 04:17:32 所属栏目：百科 来源：网络整理
导读：我已完成谷歌尽职调查,无法找到明确的答案.所以,好的堆栈溢出… 如果在rails 3应用程序中,我没有使用cookie来存储会话,那么安全地管理“Application.config.secret_token”是否很重要？此外,它一直在使用？ 解决方法 secret_token由cookie_store使用,用于存
|
我已完成谷歌尽职调查,无法找到明确的答案.所以,好的堆栈溢出…
如果在rails 3应用程序中,我没有使用cookie来存储会话,那么安全地管理“Application.config.secret_token”是否很重要？此外,它一直在使用？ 解决方法
secret_token由cookie_store使用,用于存储会话数据客户端.
Here是如何使用已知的secret_token执行任意代码的一个很好的文章.
这个cookie_store更准确地说是ActionDispatch :: Session :: CookieStore,这是一个机架中间件,当你设置session_store(：cookie_store)时,它会加载到你的机架堆栈中.因此,如果您将其设置为：session_store,则应该没有设置secret_token. 您可以检查Rails.configuration.middleware以查看所有中间件并确认ActionDispatch :: Session :: CookieStore不是其中之一. FWIW,rails 3.2应用程序将以secret_token未设置启动,但尝试设置会话变量的请求将失败500.我没有确切地追踪故障发生的位置. 但是如果您没有设置secret_token,并且您的机架堆栈中没有ActionDispatch :: Session :: CookieStore,并且您的应用程序似乎可以正常工作,那么您可以免受该特定攻击. secret_token的另一个用途是digest authentication. 总之,要回答这个问题,如果您没有使用摘要式身份验证,并且不使用cookie_store(例如,通过设置session_store(：cache_store)),那么secret_token并不重要. （编辑：李大同） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |