C++博客-qiezi的学习园地-随笔分类-Ruby

[RoR] Post/Get分派

qiezi — Sun, 17 Sep 2006 03:13:00 GMT

一、前言

出于数据安全性考虑，某些破坏性链接应该使用post请求，比如一个删除记录的请求。

除了脚本确认以外，服务端还需要post验证，因为脚本是可以绕过的。想像你的页面上有一个删除链接，只作了客户端脚本确认（老的scaffold生成代码有这问题），被google找到了，它一个请求就会让你的数据丢失。

rails对于这类请求的处理，是通过verify方法，默认的scaffold生成代码有如下内容：

  # GETs should be safe (see http://www.w3.org/2001/tag/doc/whenToUseGet.html)
  verify :method => :post, :only => [ :destroy, :create, :update ],
         :redirect_to => { :action => :list }

只有post请求时，destroy才会被允许，如果是get，就会被重定向到list。

二、实现

我自己实现了一个method_dispatch，当请求一个/test/a时，如果是get，则会直接执行TestController#a；如果是post，则会执行TestController#a_post，a_post应该是protected，这样不会直接暴露给客户，get/post就严格区分开来了。

method_dispatch现在是直接实现在ApplicationController中的，代码如下：

class ApplicationController < ActionController::Base
  protected
  def self.method_dispatch(*methods)
    before_filter :do_method_dispatch, :only => methods.flatten.map(&:to_sym)
  end

  private
  def do_method_dispatch
    if request.post? && respond_to?("#{action_name}_post")
      eval("#{action_name}_post")
      return false
    end
  end
end

由于ApplicationController里面的方法会被子类继承到，所以必须严格处理访问级别。

使用如下：

class TestController < ApplicationController
  method_dispatch :a

  def index
  end

  def a
    render :text => 'get a'
  end
  def b
    render :text => 'get b'
  end
  protected
  def a_post
    render :text => 'post a'
  end
  def b_post
    render :text => 'post b'
  end
end

注意a_post，b_post要被保护起来防止直接调用。

index.rhtml里面演示了使用get和post的情况：

<%= link_to "Get a", :action => 'a' %>
<%= link_to "Post a", {:action => 'a'}, {:post => true} %><br />

<%= link_to "Get b", :action => 'b' %>
<%= link_to "Post b", {:action => 'b'}, {:post => true} %><br />

rails在处理有:post => true参数的link_to时，生成的代码如下：

经测试上面代码工作情况良好，使用get访问/test/a时，显示get a；使用post访问时，显示post a。使用get访问/test/b时，显示get b；使用post时，显示get b，因为b并没有使用method_dispatch。

三、应用

下面的posts_controller.rb是scaffold生成的：

class PostsController < ApplicationController
  def index
    list
    render :action => 'list'
  end

  # GETs should be safe (see http://www.w3.org/2001/tag/doc/whenToUseGet.html)
  verify :method => :post, :only => [ :destroy, :create, :update ],
         :redirect_to => { :action => :list }

  def list
    @post_pages, @posts = paginate :posts, :per_page => 10
  end

  def show
    @post = Post.find(params[:id])
  end

  def new
    @post = Post.new
  end

  def create
    @post = Post.new(params[:post])
    if @post.save
      flash[:notice] = 'Post was successfully created.'
      redirect_to :action => 'list'
    else
      render :action => 'new'
    end
  end

  def edit
    @post = Post.find(params[:id])
  end

  def update
    @post = Post.find(params[:id])
    if @post.update_attributes(params[:post])
      flash[:notice] = 'Post was successfully updated.'
      redirect_to :action => 'show', :id => @post
    else
      render :action => 'edit'
    end
  end

  def destroy
    Post.find(params[:id]).destroy
    redirect_to :action => 'list'
  end
end

可以看到，它添加了verify，但action过多，需要在verify中维护一份对应方法名，稍不留神就容易出现漏洞。

我把它修改如下：

class PostsController < ApplicationController
  method_dispatch :new, :edit, :destroy

  def index
    list
    render :action => 'list'
  end

  def list
    @post_pages, @posts = paginate :posts, :per_page => 10
  end

  def show
    @post = Post.find(params[:id])
  end

  def new
    @post = Post.new
  end

  def edit
    @post = Post.find(params[:id])
  end

  def destroy
    render :inline => <<-EOS
      Are you sure?
      <%= link_to "Yes", {}, :post => true %>
      <%= link_to "No", :action => 'edit', :id => params[:id]%>
    EOS
  end

  protected
  def destroy_post
    Post.find(params[:id]).destroy
    redirect_to :action => 'list'
  end
  def edit_post
    @post = Post.find(params[:id])
    if @post.update_attributes(params[:post])
      flash[:notice] = 'Post was successfully updated.'
      redirect_to :action => 'show', :id => @post
    else
      render :action => 'edit'
    end
  end
  def new_post
    @post = Post.new(params[:post])
    if @post.save
      flash[:notice] = 'Post was successfully created.'
      redirect_to :action => 'list'
    else
      render :action => 'new'
    end
  end
end

相应地，还需要把new.rhtml中的action从create修改到new，把edit.rhtml中的action从update修改到edit。

这样的修改把必须使用post请求的action隐藏起来，而相应的get操作是不修改或删除记录的，如果以post请求，才会自动调用这些保护的方法。

qiezi 2006-09-17 11:13 发表评论

[Ruby] Ruby AOP

qiezi — Sat, 16 Sep 2006 01:46:00 GMT

昨天在答一个问题时，看题不清答错了，不过却让我花了点时间想如何实现简单的AOP。

在其它语言里实现AOP的确比较麻烦，java要用到动态proxy，如果是C＋＋，除了从源码上修改还真没好办法，aspectc就是这么做的。那么ruby里面如何实现呢？

由于ruby是动态脚本语言，运行期可以把一个方法改名，也可以构造一个字符串动态生成方法，那么实现这个就不是难事了。

module ExecuteBefore
  def self.included(base)
    base.extend(ClassMethods)
  end

  module ClassMethods
    def execute_before(before_method, *methods)
      methods.flatten.map(&:to_sym).each do |method|
        alias_method "#{method}_old".to_sym, method
        class_eval <<-eval_end
          def #{method}(*args)
            #{before_method}(*args)
            #{method}_old(*args)
          end
        eval_end
      end
    end
  end
end

使用时只需要在类里面include这个模块就行了，相当于mixin的功能。

class TestController < ApplicationController

  def index
    a(1)
    b(1,2)
    c(1,2,3)
    render :text => 'hello'
  end

  protected
  def log(*args)
    puts "log: #{args.map(&:to_s).join(', ')}"
  end

  def a(a)
  end

  def b(a,b)
  end

  def c(a,b,c)
  end

  include ExecuteBefore
  execute_before :log, :a, :b, :c
end

注意，由于使用execute_before时后面几个方法必须要有定义，所以必须放在后面，否则就会出错。

qiezi 2006-09-16 09:46 发表评论

[RoR] Rails unittest一个小bug

qiezi — Sat, 16 Sep 2006 01:32:00 GMT

之前为了省事，数据库配置如下：

development_pgsql:
  adapter: postgresql
  database: myproject_development
  username: postgres
  password:

development_mysql:
  adapter: mysql
  database: myproject_development
  username: root
  password:

development:
  development_mysql

test:
  adapter: postgresql
  database: myproject_test
  username: postgres
  password:

production:
  development

正常运行没什么问题。后来发现在运行rake test作单元测试时会报错，把拷贝过来就没有问题。不过rubyonrails.com上不允许匿名提交bug，还真麻烦。

另外发现config.active_record.schema_format = :ruby配置下，postgresql的timestamp字段默认值current_timestamp不能正确复制到数据库。经检查它是使用db:schema:dump复制下数据库模式，再使用db:schema:load生成测试数据库模式的，这个模块为了各数据库统一，会去掉那些不一致的默认值。解决办法是设置config.active_record.schema_format = :sql。

qiezi 2006-09-16 09:32 发表评论

[RoR] 修复update_attribute(s)更新全部字段的问题

qiezi — Fri, 25 Aug 2006 18:10:00 GMT

这是前段时间有人讨论过的问题：

代码:

order = Order.find(1)
order.update_attribute(:status, 'finished')

假定orders表有10个字段，你只想更新其中一个，但active record会生成一个更新全部字段的SQL语句，假定其中一个字段值长度是20K，这个负担可能会有些重。

我尝试解决这个问题，写了个简单的插件：

代码:

module ActiveRecord
class Base
def update_attribute(name, value)
update_attributes(name => value)
end

def update_attributes(new_attributes)
return if new_attributes.nil?
attributes = new_attributes.dup
attributes.stringify_keys!
self.attributes = attributes
update(attributes)
end

private
def update(attrs = nil)
connection.update(
"UPDATE #{self.class.table_name} " +
"SET #{quoted_comma_pair_list(connection, attributes_with_quotes(false, attrs))} " +
"WHERE #{self.class.primary_key} = #{quote(id)}",
"#{self.class.name} Update"
)

return true
end

def attributes_with_quotes(include_primary_key = true, attrs = nil)
(attrs || attributes).inject({}) do |quoted, (name, value)|
if column = column_for_attribute(name)
quoted[name] = quote(value, column) unless !include_primary_key && column.primary
end
quoted
end
end
end
end

attributes_with_quotes函数的参数搞这么复杂，原因是我想即便是用这段代码替换库里面的部分，也不影响原有代码的正常功能。

可以简单测试一下上面的例子，它生成的SQL语句会简洁很多，大概是这样子：
UPDATE orders SET "status" = 'finished' WHERE id = 1

已发现的BUG和修复：

1、没有调用validation (by cookoo)。由于原有代码调用save，而save被覆盖成有验证的代码，所以具有验证功能。解决办法是增加一段代码：

module ActiveRecord
  module ValidationsFix
     def self.append_features(base) # :nodoc:
      super
      base.class_eval do
        alias_method :update_attributes_without_validation, :update_attributes
        alias_method :update_attributes, :update_attributes_with_validation
      end
    end

     def update_attributes_with_validation(new_attributes)
       return if new_attributes.nil?
      attributes = new_attributes.dup
      attributes.stringify_keys!
      self.attributes = attributes

       if valid?
        update_attributes_without_validation(attributes)
       else
         return false
      end
    end
  end
end

ActiveRecord::Base.class_eval do
  include ActiveRecord::ValidationsFix
end

简单测试通过。

qiezi 2006-08-26 02:10 发表评论

[ROR] &:id这种用法

qiezi — Tue, 11 Jul 2006 07:40:00 GMT

这是ActiveSupport扩展的一个方法。原代码如下：

class Symbol
def to_proc
    Proc.new { |*args| args.shift.__send__(self, *args) }
end
end

它扩展出这种用法：

(1..5).map(&:to_s)

map原本是要接受一个block参数，普通的用法是：

(1..5).map{|e| e.to_s}

或者：

proc = Proc.new{|e| e.to_s}
(1..5).map(&proc)

上面这个(1..5).map(&:to_s)用法可以拆成3步来解释：
sym = :to_s
proc = Proc.new{|*args| args.shift.send(sym, *args)}
(1..5).map(&proc)

有个疑问，经过yanping.jia解释，map(&:to_s)因为出现了&符号，所以:to_s会执行to_proc方法，然后与&一起合成&proc交给map处理。虽然说得通，不过我总觉得这个解释中，&这个符号做了2次工作，是否合理？

这种用法原本是Ruby Extensions Project发明的，在RoR中作了点修改。原来的版本是：

class Symbol
    def to_proc
      proc { |obj, *args| obj.send(self, *args) }
    end
end

它使用2个参数来分出一个参数，而RoR版本则使用shift分出来。

刚才又想了一下，yanping.jia的解释应该是合理的，解释器看到&:id时，先会判断是否是一个方法调用，如果是则需要把:id转成一个proc。否则就是语法错误了。

qiezi 2006-07-11 15:40 发表评论

[ROR] 修复“使用POST方法时,通过URL参数改写_session_id无效”的问题

qiezi — Mon, 03 Jul 2006 15:58:00 GMT

问题：

使用Flash 8提供的FileReference可以方便地一次选择多个文件上传，不过除了在IE上以外，其它浏览器上的都会出现Cookie与浏览器不一致的问题。

解决办法：直接的做法就是在上传时，附加一个session_id在URL上，在服务端处理时使用这个Session。

在Rails中，可以把_session_id=xxxx附加在URL上。不过测试的结果是，附加的session_id只有在GET请求时才正常，POST请示时会被忽略。

知道了这一点，只需要寻找GET和POST请求处理的差别。也费了一番周折，才发现问题出在actionpack/lib/action_controller/cgi_ext/raw_post_data_fix.rb里。

只需要在POST时也处理一下URL参数即可。由于它是通过read_query_params方法来分开处理的，所以要在POST请求时，调用一下read_query_params(:get)，并把结果合并。代码如下：

@params.merge!(CGI.parse(read_query_params(:get))) if method == :post || method == :put

这行加到initialize_query方法尾部即可。由于原来的方法可能返回了@params，所以也加一行@params在结尾，以免造成不必要的麻烦。

qiezi 2006-07-03 23:58 发表评论

[RoR] 实现一个auto_redirect_to

qiezi — Fri, 19 May 2006 18:33:00 GMT

最近在使用RoR做项目，体会到了快速开发的乐趣，也遇到了一些困难，其中一个就是redirect_to。

我遇到的一个问题是，当使用Ajax更新页面局部内容时，session内容已经过期，这时需要整个页面跳转到登录页面。

直接调用redirect_to会使局部内容显示成登录页面，它是在HTTP头里写入重定向参数来实现的。在我这里的特殊情况下，正确的做法是让它执行一个包含在