ruby-on-rails - Rails 登录重置 session

Question

用户成功登录时调用 reset_session 并在用户注销时再次调用它是最佳做法吗？这样做有任何副作用/问题吗？

Answer 1

Ruby on Rails Security Guide建议在成功验证后重置 session ID 以防止 session fixation漏洞。从本质上讲， session 固定涉及攻击者设置您的 session id(或其他一些能够在您点击登录页面时知道 id 的方法)，并且在您成功验证后，攻击者使用为他们自己的浏览器设置一个 cookie您的 session ID 并随后以您的身份进行身份验证。在成功验证后重置 session ID 可以完全缓解此类漏洞。创建操作中的一些示例代码可能如下所示:

def create
  user =  User.find_by_email(params[:email])
  if user && user.authenticate(params[:password])
    old_values = session.to_hash
    reset_session
    session.update old_values.except('session_id')
    session[:athlete_id] = athlete.id
    redirect_to root_url, notice: "Authentication successful!"
  else
    flash.now.alert = "Invalid credentials"
    render "new"
  end
end

请注意，如果您希望保留任何数据，请务必在重置之前复制 session 。
至于在注销时调用 reset_session，是的，这也是最佳实践。