ruby - 为什么在生产中使用 Net::HTTP 的 set_debug_output 是危险的？

Question

Net::HTTP 库中有一个非常有用的方法可以调试 HTTP 请求。

这是文档对此的描述:

set_debug_output(output)

WARNING This method causes serious security hole. Never use this method in production code.

Set an output stream for debugging.

http://ruby-doc.org/stdlib/libdoc/net/http/rdoc/classes/Net/HTTP.html#M001371

这里提到的安全漏洞是什么？

Answer 1

查看代码，除了将 HTTP 协议(protocol)中的所有内容 传递给您提供的流之外，没有其他安全漏洞。如果您不小心将输出放在您不怀疑的地方，这可能会暴露您的应用程序的内部工作。

恕我直言，文档中的陈述相当生硬，没有提供有关安全漏洞的良好解释。我认为评论应该阅读以下内容:

Be careful and sit on your hands before you type, since setting a debug_output will expose the complete HTTP protocol (including possible sensitive information) to the stream that is passed in.

长话短说:不存在“隐藏的”安全漏洞。