Comment sécuriser les cookies (https uniquement) par défaut dans les rails?

Question

Dans un contrôleur Rails, je peux définir un cookie comme celui-ci:

cookies[:foo] = "bar" 

et préciser que le drapeau "sécurisé" (https uniquement) soit comme ça:

cookies[:foo, :secure => true] = "bar" 

:secure est faux par défaut. Comment puis-je faire en sorte que les cookies soient sécurisés par défaut, à l'échelle de l'application?

Ceci est on Rails 2.3.8

Answer 1

Merci @knx, vous me avez envoyé faire wn le bon chemin. Voici le monkey-patch je suis venu avec, ce qui semble fonctionner:

class ActionController::Response 
    def set_cookie_with_security(key, value) 
    value = { :value => value } if Hash != value.class 
    value[:secure] = true 
    set_cookie_without_security(key, value) 
    end 
    alias_method_chain :set_cookie, :security 
end 

Que pensez-vous?

Answer 2

Solution rapide et sale: Je pense qu'il est possible en modifiant [] = méthode dans le module cookies pack d'action (actionpack/lib/action_controller/cookies.rb)

de:

def []=(name, options) 
     if options.is_a?(Hash) 
     options = options.inject({}) { |options, pair| options[pair.first.to_s] = pair.last; options } 
     options["name"] = name.to_s 
     else 
     options = { "name" => name.to_s, "value" => options } 
     end 

     set_cookie(options) 
    end 

à:

def []=(name, options) 
     if options.is_a?(Hash) 
     options.merge!({:secure => true}) 
     options = options.inject({}) { |options, pair| options[pair.first.to_s] = pair.last; options } 
     options["name"] = name.to_s 
     else 
     options = { "name" => name.to_s, "value" => options } 
     end 

     set_cookie(options) 
    end 

Answer 3

à partir de rails 3.1, selon the rails security guide, vous pouvez simplement définir les paramètres suivants dans votre application.rb:

config.force_ssl = true 

cela force le cookie à envoyer sur https uniquement (et je suppose que tout le reste aussi).

Answer 4

# session only available over HTTPS 
ActionController::Base.session_options[:secure] = true 

Answer 5

Il n'y a pas besoin de ActionController monkey-patch/ActionDispatch et force_ssl a des effets secondaires (par exemple lorsque behind an ELB).

La façon la plus simple pour obtenir des cookies sécurisés est de modifier config/initializers/session_store.rb:

MyApp::Application.config.session_store :cookie_store, key: '_my_app_session', 
                 secure: Rails.env.production? 

Answer 6

Vous devriez regarder le bijou porte-ssl-enforcer. Je cherchais simplement une réponse claire à cette question et cela résout le problème indépendamment de la version de Rails que vous utilisez, et c'est extrêmement configurable.