ruby-on-rails - 批量分配真的是 Homakov 的 GitHub 黑客攻击的罪魁祸首吗？

Question

许多评论员(例如 ZDNet)认为 GitHub 案例的弱点在于模型 Homakov discovered was vulnerable为其属性启用了批量分配。

但是，我认为问题不在于此，而是未能在 Controller 中使用 before_filter(或类似的)来确保他更新的表中的任何给定行只能是由管理员或具有该行中列出的 ID 的用户更新。如果在 Controller 中安装了这样的过滤器，那么该表就可以免受攻击即使模型的属性是可批量分配的。

我说的对吗？

Answer 1

是的，我认为你是对的。

在这种情况下，你也可以使用授权 gem ，例如:cancan , declarative authorization , heimdallr ...

问题不在于你能不能用。问题是如何帮助不要忘记在某些情况下使用它。例如可以有以下方法:check_authorization 它有助于检查所有操作的授权。

Homyakov 是这么说的。添加 protected 属性将是最简单的方法。也许只是因为限制授权的解决方案不同而发现了漏洞。在某些情况下，添加 protected 属性会导致 API 失去灵 active 。