ruby-on-rails - Rails 和 Devise : set Secure flag when requested via HTTPS, 在未通过 HTTPS 请求时不设置安全标志

Question

我管理一个运行双栈的 Rails 4.2 应用程序:SSL 和非 SSL。当通过 HTTPS 请求资源时，我想为 cookie 设置安全标志，而当通过纯 HTTP 请求资源时，我想省略该标志。

有没有办法在 Rails 中实现这一点( session cookie，在代码中手动发送的 cookie)？尤其是在启用可内存的情况下使用设计时。

Answer 1

我知道这是一个迟到的回应，但我目前正在调查同样的事情，似乎 https://github.com/mobalean/devise_ssl_session_verifiable应该为您自动执行此操作，尽管它使用不同的方法(通过 http + https 的常规 session cookie，但在 https 中使用额外的安全 cookie，以便劫持您的 session 的人无法访问您的仅 https 资源。