Как вы можете использовать инфраструктуру Rails AuthenticityToken для явной защиты действия GET - PullRequest
Новая
       21

Как вы можете использовать инфраструктуру Rails AuthenticityToken для явной защиты действия GET

4 голосов
/ 04 декабря 2009

Rails AuthenticityToken автоматически защищает запросы POST / PUT / DELETE от CSRF-атак. Но я имею в виду другой вариант использования.

Я показываю на своем сайте видео, которое не хочу вставлять на другие сайты. Как это работает, мой флэш-плеер отправляет запрос на подписанный URL-адрес с моего CDN, срок действия которого истекает через несколько секунд. До сих пор пользователь должен был входить в систему, чтобы смотреть видео, так что это была аутентификация. Однако теперь я хочу, чтобы любой посетитель сайта мог просматривать видео, не позволяя запрашивать подписанный URL-адрес с другого сайта (например, если они встроили наш проигрыватель на свой сайт).

Моя первая мысль пришла к AuthenticityToken, так как он, кажется, имеет точную семантику ... все, что мне нужно сделать, это включить его в запрос GET. Есть идеи?

Ответы [ 2 ]

9 голосов
/ 05 декабря 2009

Rails, как само собой разумеющееся, считает, что все GET-запросы должны быть идемпотентными. Это означает, что Rails, конечно, не проверяет токены подлинности для запросов GET, даже Verified_request? дает каждому ПОЛУЧИТЬ пропуск. 

def verified_request?
  !protect_against_forgery?     ||
    request.method == :get      ||
    !verifiable_request_format? ||
    form_authenticity_token == params[request_forgery_protection_token]
end

Итак, мы должны написать нашу собственную логику. Мы можем использовать токен form_authenticity. Все это создает случайную строку и кеширует ее в сеансе: 

def form_authenticity_token
   session[:_csrf_token] ||= ActiveSupport::SecureRandom.base64(32)
end

Поэтому мы можем создать фильтр before, который проверяет равенство параметра url токену сеанса. Тем самым гарантируя, что только добросовестные посетители могут просматривать видео.

Контроллер: 

class CDNController < ActionController::Base
  # You probably only want to verify the show action
  before_filter :verify_request, :only => 'show'

  # Regular controller actions…

  protected

  def verify_request
    # Correct HTTP response code is 403 forbidden, not 404 not found.
    render(:status => 403) unless form_authenticity_token == params[:token]
  end

end

Вид: 

<%= video_path(:token => form_authenticity_token) %>
1 голос
/ 05 декабря 2009

Чтобы вставить токен аутентификации в ваш URL: 

<%= video_path(:token => form_authenticity_token) %>

В контроллере вашего CDN вы можете проверить правильность токена подлинности с помощью before_filter: 

def verify_token
    render_404 unless form_authenticity_token == params[:token]
end

def render_404
    render :file => "#{RAILS_ROOT}/public/404.html", :status => 404
end
...