ruby on rails - Rails 5.0.0.beta1: la generación de una URL a partir de parámetros de solicitud no saneados es insegura

ruby-on-rails upgrade

Question

Estamos actualizando de Rails 4.2.5 a 5.0.0.beta1

Al probar, esperábamos ver las vistas de índice representadas con enlaces paginados como antes. Pero ahora obtenemos una página de error ArgumentError, por ejemplo:

ArgumentError in Transactions#index 
/app/views/kaminari/_paginator.html.erb where line #10 raised:


<%= paginator.render do -%>

Generating an URL from non sanitized request parameters is insecure!

Application Trace | Framework Trace | Full Trace

app/views/kaminari/_paginator.html.erb:10:in block in _app_views_kaminari__paginator_html_erb___4026289994022119719_69904100316060'' app/views/kaminari/_paginator.html.erb:9:in_app_views_kaminari__paginator_html_erb___4026289994022119719_69904100316060''
app/views/transactions/index.html.erb:2:in `_app_views_transactions_index_html_erb__422882858554400818_60602560''

Se ha planteado un problema con kaminari

En una investigación adicional aquí está el nuevo código Rails 5.0.0.beta1 que ahora arroja el error:

Agregar esto a config / application.rb lo ''corrige'', pero no es una gran idea:

config.action_controller.permit_all_parameters = true

En su lugar, agregar esto no soluciona el problema, no estoy seguro de por qué:

config.action_controller.always_permitted_parameters =  [:current_page, :page, :total_pages, :per_page, :remote, :paginator]

Answer 1

Esto parece estar solucionado en la rama maestra de github, por lo que en este momento en su archivo gem especifique:

gem ''kaminari'', :git => "git://github.com/amatsuda/kaminari.git", :branch => ''master''