ruby-on-rails - 是否可以对 redis 查询进行字符串注入(inject)攻击？

Question

我正在为我的(基于 rails 的)api 服务器构建一个基于 token 的小型身份验证库，它使用 redis 来存储生成的身份验证 token 。我担心的行是:user_id = $redis.get("auth:#{token}")，其中 token 是传递给 authenticate_or_request_with_http_token 的内容。

如果这是 SQL，那将是一个巨大的危险信号 - 字符串内插 SQL 查询非常不安全。然而，据我所知，对 redis 键查询进行字符串插值并非不安全。

我上述声明的来源是这里的 redis 文档:http://redis.io/topics/security (在 字符串转义和 nosql 注入(inject) header 下)，但我想在受到 Bobby Tables 攻击之前确保情况确实如此。

Answer 1

您指向的文档非常明确:

The Redis protocol has no concept of string escaping, so injection is impossible under normal circumstances using a normal client library. The protocol uses prefixed-length strings and is completely binary safe.