ruby-on-rails - 侨民的安全问题是什么？

Question

我听到很多关于散居国外的安全问题的讨论，有人可以总结一下它们是什么吗？

Answer 1

他们已经修补了其中的许多，但实际上整个项目是书中几乎所有基于 Web 的安全漏洞的一团糟。以下是他们发布 alpha 代码的第一天以来的问题的简要概述：

1. 他们从未验证给定用户是否有权执行任何操作。因此，虽然用户可以去/image/123/delete/删除他们自己的图像（其 ID 恰好是 123），但他们可以手动输入 URL/image/1/delete/以删除 ID 为 1 的图像，即使该图像不是他们的。
2. 他们在 Ruby on Rails 中使用了一个快捷功能，它允许您将 POST 后的属性批量分配给数据库表，而无需验证这些属性实际上是否在表单中。因此，虽然个人资料更新页面可能只有字段来更改头像图像和生物描述，但任何有一点知识的人都可以在将 POST 数据发送到服务器之前摆弄它，并发送列/值对，如用户名、密码、会话 ID 等。将其与第 1 点相结合，如果您知道 URL，您可以修改任何人的数据，并且您可以将任何人的私人信息设置为您想要的任何内容。
3. 他们使用 MongoDB 作为后端。对于不知情的人，Mongo 使用 Javascript 来实现其某些查询功能。他们获取原始搜索查询字符串，然后在他们的 Mongo 后端执行它们，这将允许任何发送格式良好的 Javascript 作为查询的人对数据库执行任何他们想要的操作。

如果您对技术细节感到好奇，请随时自学。