5

我有一个 Rails 4 应用程序，当我运行 Brakeman 时，它（正确地）在我的创建操作中识别出不受保护的重定向。但是，添加 only_path: true （如在 Brakeman Railscast中）并不能解决警告：

  def create
    refer_url = params[:referrer]
    @portfolio = current_user.portfolios.build(portfolio_params)
    if @portfolio.save
      redirect_to refer_url, notice: "Portfolio was successfully created.", only_path: true
    else
      render :new
    end
  end

结果是：

+SECURITY WARNINGS+

+------------+-----------------------+---------+--------------+----------------------------------------------------------------------------------------------------------------------->>
| Confidence | Class                 | Method  | Warning Type | Message                                                                                                               >>
+------------+-----------------------+---------+--------------+----------------------------------------------------------------------------------------------------------------------->>
| High       | PortfoliosController  | create  | Redirect     | Possible unprotected redirect near line 14: redirect_to(+params[:referrer]+, :notice => "Portfolio was successfully cr>>
+------------+-----------------------+---------+--------------+----------------------------------------------------------------------------------------------------------------------->>

为什么会这样？布雷克曼仍在识别什么风险？

4

1 回答 1

9

不幸的是，RailsCast 不正确。:only_path => true必须是第一个参数的一部分。

params[:referrer]应该是您应用程序中的路径吗？

如果是这样，这将是我的建议：

begin
  refer_url = URI.parse(params[:referrer]).path
rescue URI::InvalidURIError
  refer_url = "some_default"
end

或者您可以检查它params[:referrer]始终是一条路径，以其他方式验证它，或者即使在您的应用程序中也不允许任意重定向。遗憾的是，Rails 没有为安全重定向提供简单的选项。

于 2014-09-16T22:18:42.800 回答