Come posso rendere sicuri i cookie (https-only) per impostazione predefinita nei binari?

Question

In un controller Rails, è possibile impostare un cookie in questo modo:

cookies[:foo] = "bar" 

e specificare che il "sicuro" (https-only) flag be avanti così:

cookies[:foo, :secure => true] = "bar" 

:secure è falso per impostazione predefinita. Come posso garantire che i cookie siano sicuri per impostazione predefinita, a livello di applicazione?

Questo è on Rails 2.3.8

Answer 1

Grazie @knx, hai mandato me fare nella giusta direzione. Ecco il monkeypatch mi è venuta, che sembra funzionare:

class ActionController::Response 
    def set_cookie_with_security(key, value) 
    value = { :value => value } if Hash != value.class 
    value[:secure] = true 
    set_cookie_without_security(key, value) 
    end 
    alias_method_chain :set_cookie, :security 
end 

Cosa ne pensi?

Answer 2

rapida e soluzione sporca: Penso che sia possibile, modificando [] = metodo in azione modulo cookie Pack (actionpack/lib/action_controller/cookies.rb)

da:

def []=(name, options) 
     if options.is_a?(Hash) 
     options = options.inject({}) { |options, pair| options[pair.first.to_s] = pair.last; options } 
     options["name"] = name.to_s 
     else 
     options = { "name" => name.to_s, "value" => options } 
     end 

     set_cookie(options) 
    end 

a:

def []=(name, options) 
     if options.is_a?(Hash) 
     options.merge!({:secure => true}) 
     options = options.inject({}) { |options, pair| options[pair.first.to_s] = pair.last; options } 
     options["name"] = name.to_s 
     else 
     options = { "name" => name.to_s, "value" => options } 
     end 

     set_cookie(options) 
    end 

Answer 3

partire con le rotaie 3.1, secondo the rails security guide, si può semplicemente impostare il seguente nel application.rb:

config.force_ssl = true 

questo costringe il cookie da inviare tramite HTTPS solo (e presumo tutto il resto, anche).

Answer 4

# session only available over HTTPS 
ActionController::Base.session_options[:secure] = true 

Answer 5

Non c'è bisogno di monkeypatch ActionController/ActionDispatch, e force_ssl ha effetti collaterali (per esempio quando behind an ELB).

Il modo più semplice per ottenere i cookie sicuro è modificare config/initializers/session_store.rb:

MyApp::Application.config.session_store :cookie_store, key: '_my_app_session', 
                 secure: Rails.env.production? 

Answer 6

Si dovrebbe guardare la gemma cremagliera-ssl-enforcer. Stavo solo cercando una risposta pulita a questo e risolve il problema indipendentemente dalla versione di Rails su cui ti trovi, inoltre è estremamente configurabile.