关闭。这个问题不符合StackOverflowguidelines.它目前不接受答案。我们不允许提问寻求书籍、工具、软件库等的推荐。您可以编辑问题，以便用事实和引用来回答。关闭4年前。Improvethisquestion是否有Rails插件或rubygem可以为您提供向Rails应用程序添加API的起点？我们要使用APIKey/SecretKey模型，API也应该是可版本化的。有没有什么东西可以给我们一些，如果不是全部的话？
通过批量分配防止安全风险的官方方法是使用attr_accessible.然而，一些程序员认为这不是模型的工作(或者至少不是仅模型的工作)。在Controller中执行此操作的最简单方法是对params哈希进行切片:@user=User.update_attributes(params[:user].slice(:name))但是文档指出:NotethatusingHash#exceptorHash#sliceinplaceofattr_accessibletosanitizeattributeswon’tprovidesufficientprotection.这是为什么呢？为什么par
我已被添加为现有项目的贡献者，该项目具有附加到gem的签名证书。我将推出下一个版本，所以我需要将我的证书添加到gem中。当我按照http://guides.rubygems.org/security/#building-gems的说明进行操作时一切都很好，直到我到达第4点并运行gembuild...出现以下错误:ERROR:Whileexecutinggem...(Gem::Security::Exception)invalidsigningchain:certificate(mydetails)wasnotissuedby(existingcertowner'sdetails)我从来
我一直在网上搜索，但找不到关于从新的公共(public)Rails应用程序中排除什么的任何好的/最近的例子。我希望在GitHub上开源我的应用程序，并且想知道应从源代码管理中删除哪些类型的数据。据我所知，应该有一个包含私有(private)信息的config/config.yml文件。我一直在查看其他文件，它看起来像config/database.yml、config/intializers/secret_token.rb和config/initializers/session_store.rb也应该被排除在外？最好的做法是分别排除所有这些文件吗？或者有没有办法在config/conf
我开始为我正在从事的项目构建RESTAPI，这让我对使用RoR构建API的最佳方法进行了一些研究。我很快发现，默认情况下，模型对世界开放，可以通过URL调用，只需在URL末尾放置一个“.xml”并传递适当的参数。那么接下来的问题来了。如何保护我的应用程序以防止未经授权的更改？在做一些研究时，我发现了几篇关于attr_accessible的文章。和attr_protected以及如何使用它们。我发现谈论这些的特定URL于07年5月发布(here)。与ruby的所有事物一样，我确信从那时起事物已经发生了变化。所以我的问题是，这仍然是在RoR中保护RESTAPI的最佳方式吗？如果不是，您
我正在开发一个需要良好安全性的网络应用程序。在目前的设计中，许多用户操作需要用户重新发送他们的密码(否则服务器将不得不以纯文本形式存储它，至少是暂时的)。很多用户交互都是通过AJAX请求进行的。我不想让用户为每个人重新输入密码，而是想做这样的事情:varpassword_plain=document.getElementById("password").value;ajax("/login.php",{password:password_plain,username:...});//laterajax("/api.php",{password:password_plain,action
定义:请从一开始就注意，通过“注入(inject)脚本”、“扩展代码”和“内容脚本”，我将使用对此question的第一个优秀答案中提供的定义。.假设:如果我直接在注入(inject)的脚本(在web区域)中处理secret信息，不如在chrome://内容脚本和扩展区域中处理secret信息安全代码。因此，我应该使用消息传递将secret信息从web区域发送到chrome://区域以供处理。问题:我正在构建一个GoogleChrome扩展程序，我需要在其中对从我注入(inject)的脚本派生的敏感用户数据运行一些操作。有问题的数据是secret的，我必须尽我所能确保在我对它进行操作之
如何确定是否有Javascript代码监听/拦截键盘事件，并理想地找到代码中的确切行/位置(例如在ChromeDev工具中)？ 最佳答案 我的答案是针对Chrome浏览器如果您需要查看在对象上注册的事件监听器，那么您可以使用getEventListeners(object)如果您需要监控事件，请使用monitorEvents()您可以阅读moreabouttheseAPI您还可以从开发工具中观察这些事件 关于javascript-如何找出是否有正在监听键盘事件的Javascript代码？
从我在网站上看到的许多帖子来看，通过AJAX或传统形式执行的登录彼此一样安全。(回复:Login/sessioncookies,AjaxandsecurityAjaxloginandjavascriptcookies,isthissecure?)我的问题是:如果我对用户的密码进行哈希处理(通过客户端/javascript哈希库)在我将它发送到服务器之前，我是否可以提高安全性以防止人们轻易放弃？如果我放置一个表单token(一个基于随机，另一个基于时间)，这是否涵盖CSRF攻击？在这一切之后，我的所有基础都得到保障了吗？这份表格安全吗？ 最佳答案
我正在编写一个包含一些数学练习的网站。我不太在乎用户是否试图作弊，所以我正在通过Javascript更正答案在我的具体情况下，我在表单中有一个字段。我想让用户输入一个数学表达式(例如3/2)并使用其结果来判断用户是否正确。为此，我会使用eval。我的javascript永远不会直接从URL中读取，而只是从表单中读取。此页面的任何结果都不会存储以显示给任何用户(也许我们稍后会保留统计分析的结果，然后通过PHP存储在数据库中，但话又说回来，我可能需要清理PHP本身的任何输入,怕用户直接使用POST)有什么可能出错？=P 最佳答案 您需要
