- html - 出于某种原因,IE8 对我的 Sass 文件中继承的 html5 CSS 不友好?
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景?
我有一个 Rails 4 应用程序,当我运行 Brakeman 时,它(正确地)在我的创建操作中识别出一个不 protected 重定向。但是,添加 only_path: true (如在 Brakeman Railscast 中)并不能解决警告:
def create
refer_url = params[:referrer]
@portfolio = current_user.portfolios.build(portfolio_params)
if @portfolio.save
redirect_to refer_url, notice: "Portfolio was successfully created.", only_path: true
else
render :new
end
end
+SECURITY WARNINGS+
+------------+-----------------------+---------+--------------+----------------------------------------------------------------------------------------------------------------------->>
| Confidence | Class | Method | Warning Type | Message >>
+------------+-----------------------+---------+--------------+----------------------------------------------------------------------------------------------------------------------->>
| High | PortfoliosController | create | Redirect | Possible unprotected redirect near line 14: redirect_to(+params[:referrer]+, :notice => "Portfolio was successfully cr>>
+------------+-----------------------+---------+--------------+----------------------------------------------------------------------------------------------------------------------->>
最佳答案
不幸的是,RailsCast 是不正确的。 :only_path => true
必须是第一个参数的一部分。
是 params[:referrer]
应该是您的应用程序中的路径?
如果是这样,这将是我的建议:
begin
refer_url = URI.parse(params[:referrer]).path
rescue URI::InvalidURIError
refer_url = "some_default"
end
params[:referrer]
始终是一个路径,以其他方式验证它,或者即使在您的应用程序中也不允许任意重定向。遗憾的是,Rails 没有提供安全重定向的简单选项。
关于ruby-on-rails-4 - 不 protected 重定向没有被 only_path 治愈,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/25859320/
这并没有给出完整的 URL,因为它在邮件中会中断 这给了我完整的 URL,这很好: false) %> 如何两全其美?我想链接到但有完整路径? 谢谢 最佳答案 没有测试这个..你试过这个吗? f
我有一个 Rails 4 应用程序,当我运行 Brakeman 时,它(正确地)在我的创建操作中识别出一个不 protected 重定向。但是,添加 only_path: true (如在 Brake
我正在尝试更改一个函数——它目前只接受一个 URL(路径)字符串——以使其更加灵活,这样它也将接受与你可以接受的相同参数作为输入传递给 url_for。问题是,url_for 返回一个完整的 URL,
我正在阅读 Rails 4 in Action。在使用 Rspec 和 Capybara 进行测试时,我遇到了上述错误。我的viewing_projects_spec.rb 看起来像这样: requi
我的 ruby on rails action mailer 在开发环境中运行良好,但在生产环境中,它不断抛出: ActionView::Template::Error: Missing host
我是一名优秀的程序员,十分优秀!