ruby-on-rails - 阻止 Ruby on Rails 发送 session header

Question

如何防止 Rails 始终发送 session header (Set-Cookie)。如果应用程序还发送 Cache-Control: 公共(public) header ，则会出现安全问题。

我的应用程序在某些/大多数操作中触及(但不修改) session 哈希。这些页面不显示私有(private)内容，因此我希望它们可缓存 - 但 Rails 始终发送 cookie header ，无论发送的 session 哈希值是否与之前的不同。

我想要实现的是仅在哈希值与从客户端收到的哈希值不同时才发送哈希值。你怎么能这么做呢？也许这个修复也应该进入官方 Rails 版本？你觉得怎么样？

Answer 1

Rails 仅将 session cookie 数据添加到 Set-Cookie header (如果已触及)。您可能将某些内容设置为它们已经包含的值 - 检查数据是否实际上不同是不够智能的。

编辑我的回答有点误导。当您使用 cookie session 存储时，如果 cookie 值(编码后)发生更改，则会设置新的 cookie。

参见actionpack/lib/action_controller/session/cookie_store.rb