ruby-on-rails - software - ruby on rails tutorial

Rails 3 Deprecation SSL

Question

Estoy actualizando una aplicación a Rails 3.0.0 y me pregunto si el método estándar para agregar SSL ha cambiado (recuerdo vagamente demos que indican que el enrutador ahora podría manejar SSL, aunque no estoy seguro de si era solo para fines de demostración). Actualmente uso la gema "ssl_requirement", sin embargo me da:

ADVERTENCIA DE DEPRESIÓN: El uso de #request_uri está en desuso. Use fullpath en su lugar. (llamado desde ensure_proper_protocol en /Library/Ruby/Gems/1.8/gems/ssl_requirement-0.1.0/lib/ssl_requirement.rb:53)

Además, parece que se rompe cuando se manejan los nuevos atributos de ''método de datos''. Por ejemplo:

<%= link_to "Logout", user_path, :method => :delete %>

Funciona bien al acceder desde una sección SSL de la aplicación, pero falla (intenta reproducir la acción mostrar) cuando se sigue desde una sección no SSL (todas las acciones en el controlador requieren SSL, aunque entiendo que la acción de destrucción no se transmite de forma segura datos).

Answer 1

De hecho, es bastante simple en Rails 3. En config/routes.rb :

MyApplication::Application.routes.draw do
  resources :sessions, :constraints => { :protocol => "https" }
end

O si necesita forzar SSL para múltiples rutas:

MyApplication::Application.routes.draw do
  scope :constraints => { :protocol => "https" } do 
    # All your SSL routes.
  end
end

Y el enlace a las rutas SSL se puede hacer así:

<%= link_to "Logout", sessions_url(:protocol => ''https''), :method => :delete %>

Si desea redireccionar automáticamente algunos controladores (o, en realidad, algunos subpases) a una URL https equivalente, puede agregar algo como esto a sus rutas (me gustaría que esta parte fuera más simple):

# Redirect /foos and anything starting with /foos/ to https.
match "foos(/*path)", :to => redirect { |_, request|
  "https://" + request.host_with_port + request.fullpath }

Answer 2

Después de pasar una tarde buscando la mejor solución, me decidí por el enfoque descrito en este artículo: http://clearcove.ca/blog/2010/11/how-to-secure-a-rails-app-on-heroku-with-ssl-firesheep/ que hace referencia a este artículo: Forzar SSL utilizando ssl_requirement en la aplicación Rails 2

Básicamente haz esto:

# lib/middleware/force_ssl.rb
class ForceSSL
  def initialize(app)
    @app = app
  end

  def call(env)
    if env[''HTTPS''] == ''on'' || env[''HTTP_X_FORWARDED_PROTO''] == ''https''
      @app.call(env)
    else
      req = Rack::Request.new(env)
      [301, { "Location" => req.url.gsub(/^http:/, "https:") }, []]
    end
  end
end

# config/application.rb
config.autoload_paths += %W( #{ config.root }/lib/middleware )

# config/environments/production.rb
config.middleware.use "ForceSSL"

Answer 3

En los Rails posteriores (al menos 3.12+) puede usar lo siguiente, específico del entorno:

en config / environments / production.rb (u otro entorno)

# Force all access to the app over SSL, use Strict-Transport-Security, and use secure cookies.
config.force_ssl = true

Answer 4

Toppic es viejo pero solo para googlear personas:

en * app / controller / your_controller.rb *

 class LostPasswordsController < ApplicationController

   force_ssl

   def index
     #....
   end
 end 

si globalmente úsala en el controlador de aplicaciones

http://apidock.com/rails/ActionController/ForceSSL/ClassMethods/force_ssl

... thx SL por consejo