草庐IT

springboot项目防止XSS攻击和sql注入

全部标签

ruby-on-rails - 有没有人用 Ruby 1.9.1 成功部署了 Rails 项目?

按照目前的情况,这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持,但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开,visitthehelpcenter指导。关闭10年前。上周我成功完成了我们公司所有应用程序从Ruby1.8.6到Ruby1.8.7的转换,包括本地和远程配置。从现在开始,开发不需要确保与Ruby1.8.6的向后兼容性。出于好奇,我尝试针对Ruby1.9.1运行几个项目的测试套件。正如预期的那样,我发现了一些与编码相关的问题,但当我发现诸如Rack::Link已知错误之类的低级不兼容性时,我真的很震惊。在这一

ruby-on-rails - 攻击 ActiveRecord : add global named scope

我正在尝试为像这样的ActiveRecord模型提供一组非常通用的命名范围:moduleScopesdefself.included(base)base.class_evaldonamed_scope:not_older_than,lambda{|interval|{:conditions=>["#{table_name}.created_at>=?",interval.ago]}endendendActiveRecord::Base.send(:include,Scopes)classUser如果命名范围应该是通用的,我们需要指定*table_name*以防止命名问题,如果它们是来自

sql - 如何在 rails 中添加条件 where 子句

我是一名Rails新手,我正在尝试使用Rails对表执行搜索,而我只是使用我的sql知识来执行此操作。但这看起来不像是rails或ruby​​...有没有更好的方法来做我在下面做的事情?(基本上,如果日期参数已填充,则只将日期参数传递给sql)defsearch(begin_date=nil,end_date=nil)subject="andcreated_at"if!(begin_date.nil?||end_date.nil?)where_part=subject+"BETWEEN:begin_dateAND:end_date"elseif(begin_date.nil?&&end

sql - PostgreSQL 条件 where 子句

在我的RubyonRails应用程序中,我使用的是blazer(https://github.com/ankane/blazer)并且我有以下sql查询:SELECT*FROMsurvey_resultssrLEFTJOINclientscONc.id=sr.client_idWHEREsr.client_id={client_id}这个查询非常有效。但是我需要添加条件逻辑来检查client_id变量是否存在。如果是,那么我将按此变量进行过滤,如果不是,则我不会启动此where子句。我如何在PostgreSQL中执行此操作? 最佳答案

arrays - Ruby : Choosing between each, 映射、注入(inject)、each_with_index 和 each_with_object

当我多年前开始编写Ruby时,我花了一段时间才理解each之间的区别。和map.当我发现所有其他的时,情况只会变得更糟Enumerable和Array方法。借助官方文档和manyStackOverflowquestions,我慢慢开始明白那些方法做了什么。不过,这是我花了更长时间才理解的内容:我为什么要使用一种或另一种方法?有任何指导方针吗?我希望这个问题不会重复:我对“为什么?”更感兴趣。比“什么?”或“如何?”,我认为它可以帮助Ruby新手。 最佳答案 一个更tl;dr的答案:Howtochoosebetweeneach,map

sql - 将所有 Controller 操作包装在 Rails 中的事务中

是否可以设置一个Rails应用程序,以便所有Controller操作都自动包装在一个事务中,并在出现未挽救的异常时自动回滚?我正在开发一个Rails3应用程序,目前正在执行一项相当棘手的操作,该操作会进行大量数据库更改。而且我一直弄错了很多次!一段时间后,我意识到我的代码无法正常工作,因为我最终在数据库中得到了不一致的数据。我可以很容易地用一个事务来包装它(这是一个明显需要的实例!)。然而,这让我想到,至少在开发过程中,将这个想法应用于每个Controller操作会很有用。假设这是可能的,这有什么缺点吗? 最佳答案 有关信息,我在我

ruby-on-rails - SQL 注入(inject)和 ActiveRecord

这对SQL注入(inject)安全吗:Guest.where(:event_id=>params[:id])我在发送params[:id]时没有进行任何类型的清理。一般来说,所有这些activerecord方法都安全吗?(如where、joins等。)如果不是,安全的最佳做法是什么?另外,是否有任何我应该注意的警告/边缘情况?谢谢 最佳答案 ActiveRecord的所有查询构建方法,如where、group、order等等,都可以安全地防止SQL注入(inject)ASLONGAS您不向它们传递原始SQL字符串。这容易受到SQL注

Ruby:按值查找散列中的项目

我目前正在使用如下所示的ruby​​哈希:{"employee"=>[{"name"=>"john","level"=>"1","position"=>"S1"},{"name"=>"bill","level"=>"2","position"=>"S2"}]}这是员工的两个例子,我需要能够通过值(value)观来吸引员工。例如,我想获得级别==2的所有员工,或位置==S1的所有员工。我如何在Ruby中执行此操作? 最佳答案 使用Hash#select或Array#select.level_2_employees=infoHash["

sql - 在 AREL 中分组 ands 和 ors

我正在尝试使用arel查询此sql片段的等效项:WHERE(("participants"."accepted"='f'AND"participants"."contact_id"=1)OR"participants"."id"ISNULL)所以我想要(accepted&&contact_id=1)ORNULL这是我在AREL中得到的participants[:accepted].eq(false).and(participants[:contact_id].eq(1).or(participants[:id].is(nil)问题是,这会产生:("participants"."acce

ruby-on-rails - Has_Many :Through or :finder_sql

我已经确定了我想要的东西,但我似乎无法以Rails设计师正在寻找的方式获得它。基本上,我有(请搁置多元化/等问题):人类关系(parent、后代)我正在尝试获取单亲的所有后代,以及许多后代的单亲(假设每个后代只有一个parent)。我可以在模型中通过以下方式做到这一点:has_one:parent,:through=>:relationships,:foreign_key=>:human_id,:source=>:source_humanhas_many:offsprings,:finder_sql=>'SELECTDISTINCToffsprings.*'+'FROMhumansof