qiezi的学习园地

AS/C/C++/D/Java/JS/Python/Ruby

  C++博客 :: 首页 :: 新随笔 ::  ::  :: 管理 ::
一、前言

出于数据安全性考虑,某些破坏性链接应该使用post请求,比如一个删除记录的请求。

除了脚本确认以外,服务端还需要post验证,因为脚本是可以绕过的。想像你的页面上有一个删除链接,只作了客户端脚本确认(老的scaffold生成代码有这问题),被google找到了,它一个请求就会让你的数据丢失。

rails对于这类请求的处理,是通过verify方法,默认的scaffold生成代码有如下内容:

  # GETs should be safe (see http://www.w3.org/2001/tag/doc/whenToUseGet.html)
  verify :method => :post, :only => [ :destroy, :create, :update ],
         
:redirect_to => { :action => :list }

只有post请求时,destroy才会被允许,如果是get,就会被重定向到list。

二、实现

我自己实现了一个method_dispatch,当请求一个/test/a时,如果是get,则会直接执行TestController#a;如果是post,则会执行TestController#a_post,a_post应该是protected,这样不会直接暴露给客户,get/post就严格区分开来了。

method_dispatch现在是直接实现在ApplicationController中的,代码如下:

class ApplicationController < ActionController::Base
  protected
  def self
.method_dispatch(*methods)
    before_filter 
:do_method_dispatch, :only => methods.flatten.map(&:to_sym)
  end

  private
  def do_method_dispatch
    
if request.post? && respond_to?("#{action_name}_post")
      
eval("#{action_name}_post")
      
return false
    end
  end
end

由于ApplicationController里面的方法会被子类继承到,所以必须严格处理访问级别。

使用如下:

class TestController < ApplicationController
  method_dispatch 
:a

  def 
index
  end

  def a
    render 
:text => 'get a'
  end
  def b
    render 
:text => 'get b'
  end
  protected
  def a_post
    render 
:text => 'post a'
  end
  def b_post
    render 
:text => 'post b'
  end
end

注意a_post,b_post要被保护起来防止直接调用。

index.rhtml里面演示了使用get和post的情况:

<%= link_to "Get a", :action => 'a' %>
<%= link_to "Post a", {:action => 'a'}, {:post => true} %><br />

<%= link_to "Get b", :action => 'b' %>
<%= link_to "Post b", {:action => 'b'}, {:post => true} %><br />

rails在处理有:post => true参数的link_to时,生成的代码如下:

<href="/test/a" onclick="var f = document.createElement('form');
       this.parentNode.appendChild(f); f.method = 'POST'; f.action = this.href; f.submit();return false;"
>Post a</a>

经测试上面代码工作情况良好,使用get访问/test/a时,显示get a;使用post访问时,显示post a。使用get访问/test/b时,显示get b;使用post时,显示get b,因为b并没有使用method_dispatch。

三、应用

下面的posts_controller.rb是scaffold生成的:

class PostsController < ApplicationController
  def 
index
    list
    render 
:action => 'list'
  end

  
# GETs should be safe (see http://www.w3.org/2001/tag/doc/whenToUseGet.html)
  verify :method => :post, :only => [ :destroy, :create, :update ],
         
:redirect_to => { :action => :list }

  def list
    
@post_pages, @posts = paginate :posts, :per_page => 10
  end

  def show
    
@post = Post.find(params[:id])
  end

  def new
    
@post = Post.new
  end

  def create
    
@post = Post.new(params[:post])
    
if @post.save
      flash[
:notice] = 'Post was successfully created.'
      redirect_to 
:action => 'list'
    
else
      render 
:action => 'new'
    end
  end

  def edit
    
@post = Post.find(params[:id])
  end

  def update
    
@post = Post.find(params[:id])
    
if @post.update_attributes(params[:post])
      flash[
:notice] = 'Post was successfully updated.'
      redirect_to 
:action => 'show', :id => @post
    
else
      render 
:action => 'edit'
    end
  end

  def destroy
    Post
.find(params[:id]).destroy
    redirect_to 
:action => 'list'
  end
end

可以看到,它添加了verify,但action过多,需要在verify中维护一份对应方法名,稍不留神就容易出现漏洞。

我把它修改如下:

class PostsController < ApplicationController
  method_dispatch 
:new, :edit, :destroy

  def 
index
    list
    render 
:action => 'list'
  end

  def list
    
@post_pages, @posts = paginate :posts, :per_page => 10
  end

  def show
    
@post = Post.find(params[:id])
  end

  def new
    
@post = Post.new
  end

  def edit
    
@post = Post.find(params[:id])
  end

  def destroy
    render 
:inline => <<-EOS
      Are you sure?
      
<%= link_to "Yes", {}, :post => true %>
      
<%= link_to "No", :action => 'edit', :id => params[:id]%>
    EOS
  end

  protected
  def destroy_post
    Post
.find(params[:id]).destroy
    redirect_to 
:action => 'list'
  end
  def edit_post
    
@post = Post.find(params[:id])
    
if @post.update_attributes(params[:post])
      flash[
:notice] = 'Post was successfully updated.'
      redirect_to 
:action => 'show', :id => @post
    
else
      render 
:action => 'edit'
    end
  end
  def new_post
    
@post = Post.new(params[:post])
    
if @post.save
      flash[
:notice] = 'Post was successfully created.'
      redirect_to 
:action => 'list'
    
else
      render 
:action => 'new'
    end
  end
end

相应地,还需要把new.rhtml中的action从create修改到new,把edit.rhtml中的action从update修改到edit。

这样的修改把必须使用post请求的action隐藏起来,而相应的get操作是不修改或删除记录的,如果以post请求,才会自动调用这些保护的方法。
posted on 2006-09-17 11:13 qiezi 阅读(686) 评论(3)  编辑 收藏 引用 所属分类: Ruby