如何在 Rails 中默认确保 cookie 安全（仅限 https）？

Question

在 Rails 控制器中，我可以像这样设置 cookie：

cookies[:foo] = "bar"

并指定“安全”（仅限 https）标志，如下所示：

cookies[:foo, :secure => true] = "bar"

:secure 默认情况下为 false。如何让 cookie 在应用程序范围内默认是安全的？

这是在 Rails 2.3.8 上

Answer 1

谢谢@knx，你让我走上了正确的道路。这是我想出的猴子补丁，它似乎有效：

class ActionController::Response
  def set_cookie_with_security(key, value)
    value = { :value => value } if Hash != value.class
    value[:secure] = true
    set_cookie_without_security(key, value)
  end
  alias_method_chain :set_cookie, :security
end

你觉得怎么样？

Answer 2

快速而肮脏的解决方案：我认为可以通过将action pack cookies模块（actionpack/lib/action_controller/cookies.rb）中的 []= 方法

从：

    def []=(name, options)
      if options.is_a?(Hash)
        options = options.inject({}) { |options, pair| options[pair.first.to_s] = pair.last; options }
        options["name"] = name.to_s
      else
        options = { "name" => name.to_s, "value" => options }
      end

      set_cookie(options)
    end

修改为：

    def []=(name, options)
      if options.is_a?(Hash)
        options.merge!({:secure => true})
        options = options.inject({}) { |options, pair| options[pair.first.to_s] = pair.last; options }
        options["name"] = name.to_s
      else
        options = { "name" => name.to_s, "value" => options }
      end

      set_cookie(options)
    end

Answer 3

# session only available over HTTPS
ActionController::Base.session_options[:secure] = true

Answer 4

您应该查看rack-ssl-enforcer gem。我只是在寻找一个干净的答案，它解决了与你使用哪个版本的 Rails 无关的问题，而且它的可配置性非常好。

Answer 5

您可以按照上述一些答案中提到的方式执行此操作（使用 config/initializers/session_store.rb 文件中的 secure 选项）：

MyApp::Application.config.session_store :cookie_store, key: '_my_app_session',
                                                       secure: Rails.env.production?

这只会保护会话 cookie，但其他 cookie 将不安全。

如果您想默认保护 Rails 应用中的所有 cookie，您可以使用 secure_headers gem。只需将 secure_headers gem 添加到您的 Gemfile，捆绑安装 gem 并创建一个包含以下内容的 config/initializers/secure_headers.rb 文件

SecureHeaders::Configuration.default do |config|
  config.cookies = {
    secure: true, # mark all cookies as "Secure"
  }
end

：默认情况下，您的 Rails 应用程序中的所有 cookie 都会受到保护。

您还可以添加这些推荐配置并设置 httponly 和 samesite 选项：

SecureHeaders::Configuration.default do |config|
  config.cookies = {
    secure: true, # mark all cookies as "Secure"
    httponly: true, # mark all cookies as "HttpOnly"
    samesite: {
      lax: true # mark all cookies as SameSite=lax
    }
  }
end

Answer 6

没有必要对 ActionController/ActionDispatch 进行 Monkeypatch，并且 force_ssl 有副作用（例如，当 位于 ELB 后面）。

实现安全cookie的最直接方法是修改config/initializers/session_store.rb：

MyApp::Application.config.session_store( 
  :cookie_store, 
  key: '_my_app_session',
  secure: Rails.env.production?
)

Answer 7

从rails 3.1开始，根据rails安全指南，您可以简单地设置在您的 application.rb 中遵循以下内容：

config.force_ssl = true

这会强制 cookie 仅通过 https 发送（我也假设其他所有内容）。