gpt4 book ai didi

ruby-on-rails-4 - 不 protected 重定向没有被 only_path 治愈

转载 作者:行者123 更新时间:2023-12-04 07:07:04 25 4
gpt4 key购买 nike

我有一个 Rails 4 应用程序,当我运行 Brakeman 时,它(正确地)在我的创建操作中识别出一个不 protected 重定向。但是,添加 only_path: true (如在 Brakeman Railscast 中)并不能解决警告:

  def create
refer_url = params[:referrer]
@portfolio = current_user.portfolios.build(portfolio_params)
if @portfolio.save
redirect_to refer_url, notice: "Portfolio was successfully created.", only_path: true
else
render :new
end
end

结果是:
+SECURITY WARNINGS+

+------------+-----------------------+---------+--------------+----------------------------------------------------------------------------------------------------------------------->>
| Confidence | Class | Method | Warning Type | Message >>
+------------+-----------------------+---------+--------------+----------------------------------------------------------------------------------------------------------------------->>
| High | PortfoliosController | create | Redirect | Possible unprotected redirect near line 14: redirect_to(+params[:referrer]+, :notice => "Portfolio was successfully cr>>
+------------+-----------------------+---------+--------------+----------------------------------------------------------------------------------------------------------------------->>

为什么会这样? Brakeman 还在识别什么风险?

最佳答案

不幸的是,RailsCast 是不正确的。 :only_path => true必须是第一个参数的一部分。

params[:referrer]应该是您的应用程序中的路径?

如果是这样,这将是我的建议:

begin
refer_url = URI.parse(params[:referrer]).path
rescue URI::InvalidURIError
refer_url = "some_default"
end

或者你可以检查一下 params[:referrer]始终是一个路径,以其他方式验证它,或者即使在您的应用程序中也不允许任意重定向。遗憾的是,Rails 没有提供安全重定向的简单选项。

关于ruby-on-rails-4 - 不 protected 重定向没有被 only_path 治愈,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/25859320/

25 4 0
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com