Rails:在"会话"中存储数据是否安全？

Question

我想存储当前登录用户的类型session[:user_type].选项包括:"admin","end_user","demo"(将来可能会添加更多用户类型).

我想知道在Rails 3应用程序中这样做是否安全.

用户可以以某种方式session[:user_type]从"演示" 更改为"管理员"吗？

Answer 1

这取决于您的会话商店.
默认情况下,使用cookie作为会话存储,因此默认情况下,更改cookie的内容非常容易.

所以你可以:

在config/initializers/session_store.rb中更改会话存储,并使用activerecord存储(因此它将存储在db中)或memcache存储.github上还有很多插件可以让你使用redis,mongodb,......作为会话商店
将此信息存储在您的数据库中,并在您的application_controller中有一个before_filter访问cookie以获取当前用户ID并将整个用户对象放入变量@current_user

这不完全准确(请阅读以下ThoKra链接的文章).Rails使用摘要对cookie进行签名,如果摘要不匹配,则返回会话值的nil,因此即使最终用户存储在cookie中,也无法更改会话值. (6认同)
@Misha.你是对的,user_id不应该在cookie中,因为它可以被操纵.但是,如果你在会议USER_ID储存,不使用cookie_store,作为小李的第一种选择,你不会有这个问题. (2认同)