导入博客出错～发 support 邮件也没回应…都快一周了，，

#6 楼 @verfino 没收到提醒 ..

http://hooopo.writings.io/articles/381c6c7e

http://hooopo.writings.io/articles/22f4f18e

我考虑到可能是因为我采用的是健壮参数的形式传递数据，难道这样 crop_x,crop_Y 等数据没有被传递过去？但是不确定

你得自己确定呀

controller 是最合适的地方。

#22 楼 @suxu 详细说一下？

#5 楼 @fsword 难道真的不是你么…

now()

https://github.com/Sija/sunspot_resque

#8 楼 @wppurking 二楼定律

#76 楼 @zgm 好吧 有道理

是的，我还是觉得，IP 放在里面除了添乱没起到任何防御 CSRF 的作用。

其实 CSRF Token 设置过期时间也是没什么必要的。

回家吃饭...

#68 楼 @zgm #66 楼 @luikore #70 楼 @astaxie

我觉得这个 XSRF token 的实现问题很大：

因子只有四个：

• 用户 IP -> 轻易获得
• 时间 -> 轻易碰撞
• XSRFKEY -> https://github.com/astaxie/beego/blob/83e26fdc9bfa5e6b47cba68ced89b236cbac39e4/config.go#L79
• 算法 -> 框架开源，算法公开

所以我觉得很容易实施定向 CSRF 攻击的。

#62 楼 @astaxie 现代 web 框架 不是都把 session 存在客户端嘛...

对你模板默认转义就能避免 XSS 的观点不能认同，防御 XSS 需要根据外部输入所处的语境，单纯的自动转义只是防止开发者犯愚蠢的错误。

广告嵌入方式有很多种，流行的还都是第三方广告，通过 iframe 载入的，不存在跨域设置 cookie 的问题。 至于第一方广告，需要对广告提供方有足够的信任度才可以。

#53 楼 @astaxie

session，简而言之就是在服务器上保存用户操作的历史信息

你的问题就是硬要给 session 加一个在服务器上这样的定语。

因此 cookie 存在着一定的安全隐患，例如本地 cookie 中保存的用户名密码被破译，或 cookie 被其他网站收集（例如：1. appA 主动设置域 B cookie，让域 B cookie 获取；2. XSS，在 appA 上通过 javascript 获取 document.cookie，并传递给自己的 appB）。

A 域设置 B 域 cookie 是不可能的，浏览器会有同源策略，如果这样也可以 web 就乱套了。

对于 XSS，有 HTTP Only cookie 和一楼所说的客户端 session 签名和加密策略防止重要 cookie 被篡改/窃取。

#26 楼 @astaxie @bhuztez 说的没有错啊，是你对 session 的理解太狭隘了。

session 和 cookie 本来就没有那么界限分明。session id 是要通过 cookie 存储的，session 内容也可以通过 cookie 存储。并且基于 cookie 存储的 session 更符合 RESTful 的无状态特性。

防御 CSRF 的核心手段就是不可预测原则, 你把 IP 发生变化的请求拦截掉是在防御伪造请求？你需要的只是一个简单的随机算法，而不是签名算法。所以说是杀鸡用牛刀。

#12 楼 @astaxie 签名指的是 cookie session，首先得有一个CookieSessionStore，真的没找到

PS. 使用 HMAC 生成 csrf token 的做法有点杀鸡用牛刀的感觉，只是生成一个随机字符串呀，有必要么。

#13 楼 @bhuztez nil

#10 楼 @iBachue SJ...............

抢楼！

#42 楼 @ichord 没想好呢 好像还有一个月时间呢

#3 楼 @Juanito 为什么楼主如此高产？

RC 用的不是 GFM，所以不能显示 table ..

修饰符	说明
:limit	设定 string/text/binary/integer 栏位的最大值。
:precision	定义 decimal 栏位的精度，含小数点可以有几个数字。
:scale	定义 decimal 栏位的位数，小数点可以有几位。
:null	栏位允不允许 NULL 值。
:polymorphic	给 belongs_to association 加上 type 栏位。

#2 楼 @lgn21st 如果是为了维持首页可以使用重力下沉算法，让旧帖不能被顶上来的做法感觉是南辕北辙了。

test

看了一下内容，这文章的标题不应该改成“Ruby 一直被模仿，从未被超越”么？

#1 楼 @Juanito 太长了！

fields_for加 index 参数，这种用法，第一次看到。

擦 住宿这么贵，我还是去石景山住算了，还有很多好吃的...

#1 楼 @tumayun 好路。