Rails 一个好像很多场景的安全隐患

linjunhalida · 2013年06月03日 · 最后由 hooopo 回复于 2013年06月04日 · 2447 次阅读

今天看 rails security mailist，发现一个：

https://groups.google.com/forum/?fromgroups#!topic/rubyonrails-security/ZOdH5GH5jCU

刚才测试了一下，好恐怖，只要构造出 0 的参数，就可以匹配到任何字符串数据，不知道是不是这样？如果是这样的话，代码就要好好全部检查一遍了。。

hooopo #1 2013年06月03日

这个不是早就修复了么？难道你们都不升级的？

linjunhalida #2 2013年06月03日

@hooopo 哪个版本修复的啊？

hooopo #3 2013年06月03日

#2 楼 @linjunhalida 3.2.12 啊！https://github.com/rails/rails/blob/3-2-stable/activerecord/CHANGELOG.md#rails-3212-feb-11-2013

https://github.com/rails/rails/pull/9207

不过 3.2.13 又给 revert 回去了：

Rails 3.2.13 (Mar 18, 2013)
Chaining multiple preloaded scopes will correctly preload all the scopes at the same time.

Chris Geihsler

Reverted 921a296a3390192a71abeec6d9a035cc6d1865c8, 'Quote numeric values compared to string columns.' This caused several regressions.

Steve Klabnik

linjunhalida #4 2013年06月04日

@hooopo 安全问题真是令人着急啊。小团队小项目因此付出的成本还是很高的。

hooopo #5 2013年06月04日

#4 楼 @linjunhalida who cares?

需要登录后方可回复, 如果你还没有账号请注册新账号