草庐IT

ruby-on-rails - 寻找在 Ruby on Rails 中构建安全 REST API 的建议

coder 2025-04-09 原文

我开始为我正在从事的项目构建 REST API,这让我对使用 RoR 构建 API 的最佳方法进行了一些研究。我很快发现,默认情况下,模型对世界开放,可以通过 URL 调用,只需在 URL 末尾放置一个“.xml”并传递适当的参数。

那么接下来的问题来了。如何保护我的应用程序以防止未经授权的更改?在做一些研究时,我发现了几篇关于 attr_accessible 的文章。和 attr_protected以及如何使用它们。我发现谈论这些的特定 URL 于 07 年 5 月发布 ( here )。

与 ruby​​ 的所有事物一样,我确信从那时起事物已经发生了变化。所以我的问题是,这仍然是在 RoR 中保护 REST API 的最佳方式吗?

如果不是,您在“新项目”或“现有项目”场景中有何建议?

最佳答案

有多种认证 API 请求的方案,它们与 restful_authentication 或 act_as_authenticated 等插件提供的普通认证不同。最重要的是,客户端不会维护 session ,因此没有登录的概念。

HTTP 身份验证

您可以使用基本的 HTTP 身份验证。为此,API 客户端将使用常规用户名和密码,并将其放入 URL 中,如下所示:

http://myusername:mypass@www.someapp.com/

我相信 restful_authentication 支持开箱即用,因此您可以忽略是否有人通过 API 或浏览器使用您的应用程序。

这里的一个缺点是您要求用户在每个请求中都清楚地输入他们的用户名和密码。通过 SSL,您可以确保安全。

不过,我认为我从未真正见过使用它的 API。对我来说,这似乎是一个不错的主意,尤其是因为当前的身份验证方案开箱即用地支持它,所以我不知道问题是什么。

API key

启用 API 身份验证的另一种简单方法是使用 API key 。它本质上是远程服务的用户名。当有人注册使用你的 API 时,你给他们一个 API key 。这需要与每个请求一起传递。

这里的一个缺点是,如果有人获得了其他人的 API key ,他们可以以该用户的身份发出请求。我认为通过让您的所有 API 请求都使用 HTTPS (SSL),您可以在一定程度上抵消这种风险。

另一个缺点是用户无论走到哪里都使用相同的身份验证凭据(API key )。如果他们想撤销对 API 客户端的访问权限,他们唯一的选择是更改他们的 API key ,这也会禁用所有其他客户端。这可以通过允许用户生成多个 API key 来缓解。

API Key + Secret Key 签名

已弃用(有点) - 请参阅下面的 OAuth

更复杂的是使用 key 签署请求。这就是 Amazon Web Services(S3、EC2 等)所做的。本质上,您给用户 2 个 key :他们的 API key (即用户名)和他们的 secret key (即密码)。 API key 随每个请求一起传输,但 key 不是。相反,它用于对每个请求进行签名,通常是通过添加另一个参数。

IIRC,亚马逊通过获取请求的所有参数并按参数名称对它们进行排序来实现这一点。然后,这个字符串被散列,使用用户的 secret key 作为散列 key 。此新值在发送之前作为新参数附加到请求中。在亚马逊方面,他们做同样的事情。他们获取所有参数(签名除外),对它们进行排序,并使用 key 进行散列。如果这与签名匹配,他们就知道请求是合法的。

这里的缺点是复杂。让这个方案正常工作对于 API 开发人员和客户来说都是一件痛苦的事情。预计无法正常工作的客户开发人员会收到大量支持电话和愤怒的电子邮件。

OAuth

为了解决 key + secret 签名的一些复杂问题,出现了一个名为 OAuth 的标准。 . OAuth 的核心是 key + secret 签名的风格,但其中大部分是标准化的并已包含在 libraries for many languages 中。 .

一般来说,API 生产者和消费者使用 OAuth 比创建自己的 key /签名系统要容易得多。

OAuth 还固有地对访问进行分段,为每个 API 使用者提供不同的访问凭证。这允许用户有选择地撤销访问,而不会影响他们的其他消费应用程序。

专门针对 Ruby,有一个 OAuth gem为 OAuth 的生产者和消费者提供开箱即用的支持。我已经使用这个 gem 来构建 API 并使用 OAuth API,这给我留下了深刻的印象。如果您认为您的应用程序需要 OAuth(而不是更简单的 API key 方案),那么我可以轻松推荐使用 OAuth gem。

关于ruby-on-rails - 寻找在 Ruby on Rails 中构建安全 REST API 的建议,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/247110/

有关ruby-on-rails - 寻找在 Ruby on Rails 中构建安全 REST API 的建议的更多相关文章

  1. ruby - 如何使用 Nokogiri 的 xpath 和 at_xpath 方法 - 2

    我正在学习如何使用Nokogiri,根据这段代码我遇到了一些问题:require'rubygems'require'mechanize'post_agent=WWW::Mechanize.newpost_page=post_agent.get('http://www.vbulletin.org/forum/showthread.php?t=230708')puts"\nabsolutepathwithtbodygivesnil"putspost_page.parser.xpath('/html/body/div/div/div/div/div/table/tbody/tr/td/div

  2. ruby - 如何从 ruby​​ 中的字符串运行任意对象方法? - 2

    总的来说,我对ruby​​还比较陌生,我正在为我正在创建的对象编写一些rspec测试用例。许多测试用例都非常基础,我只是想确保正确填充和返回值。我想知道是否有办法使用循环结构来执行此操作。不必为我要测试的每个方法都设置一个assertEquals。例如:describeitem,"TestingtheItem"doit"willhaveanullvaluetostart"doitem=Item.new#HereIcoulddotheitem.name.shouldbe_nil#thenIcoulddoitem.category.shouldbe_nilendend但我想要一些方法来使用

  3. Ruby 解析字符串 - 2

    我有一个字符串input="maybe(thisis|thatwas)some((nice|ugly)(day|night)|(strange(weather|time)))"Ruby中解析该字符串的最佳方法是什么?我的意思是脚本应该能够像这样构建句子:maybethisissomeuglynightmaybethatwassomenicenightmaybethiswassomestrangetime等等,你明白了......我应该一个字符一个字符地读取字符串并构建一个带有堆栈的状态机来存储括号值以供以后计算,还是有更好的方法?也许为此目的准备了一个开箱即用的库?

  4. ruby - 使用 RubyZip 生成 ZIP 文件时设置压缩级别 - 2

    我有一个Ruby程序,它使用rubyzip压缩XML文件的目录树。gem。我的问题是文件开始变得很重,我想提高压缩级别,因为压缩时间不是问题。我在rubyzipdocumentation中找不到一种为创建的ZIP文件指定压缩级别的方法。有人知道如何更改此设置吗?是否有另一个允许指定压缩级别的Ruby库? 最佳答案 这是我通过查看ruby​​zip内部创建的代码。level=Zlib::BEST_COMPRESSIONZip::ZipOutputStream.open(zip_file)do|zip|Dir.glob("**/*")d

  5. ruby - 为什么我可以在 Ruby 中使用 Object#send 访问私有(private)/ protected 方法? - 2

    类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc

  6. ruby-on-rails - 使用 Ruby on Rails 进行自动化测试 - 最佳实践 - 2

    很好奇,就使用ruby​​onrails自动化单元测试而言,你们正在做什么?您是否创建了一个脚本来在cron中运行rake作业并将结果邮寄给您?git中的预提交Hook?只是手动调用?我完全理解测试,但想知道在错误发生之前捕获错误的最佳实践是什么。让我们理所当然地认为测试本身是完美无缺的,并且可以正常工作。下一步是什么以确保他们在正确的时间将可能有害的结果传达给您? 最佳答案 不确定您到底想听什么,但是有几个级别的自动代码库控制:在处理某项功能时,您可以使用类似autotest的内容获得关于哪些有效,哪些无效的即时反馈。要确保您的提

  7. ruby-on-rails - rails : keeping DRY with ActiveRecord models that share similar complex attributes - 2

    这似乎应该有一个直截了当的答案,但在Google上花了很多时间,所以我找不到它。这可能是缺少正确关键字的情况。在我的RoR应用程序中,我有几个模型共享一种特定类型的字符串属性,该属性具有特殊验证和其他功能。我能想到的最接近的类似示例是表示URL的字符串。这会导致模型中出现大量重复(甚至单元测试中会出现更多重复),但我不确定如何让它更DRY。我能想到几个可能的方向...按照“validates_url_format_of”插件,但这只会让验证干给这个特殊的字符串它自己的模型,但这看起来很像重溶液为这个特殊的字符串创建一个ruby​​类,但是我如何得到ActiveRecord关联这个类模型

  8. ruby - 在 Ruby 中使用匿名模块 - 2

    假设我做了一个模块如下:m=Module.newdoclassCendend三个问题:除了对m的引用之外,还有什么方法可以访问C和m中的其他内容?我可以在创建匿名模块后为其命名吗(就像我输入“module...”一样)?如何在使用完匿名模块后将其删除,使其定义的常量不再存在? 最佳答案 三个答案:是的,使用ObjectSpace.此代码使c引用你的类(class)C不引用m:c=nilObjectSpace.each_object{|obj|c=objif(Class===objandobj.name=~/::C$/)}当然这取决于

  9. ruby - 其他文件中的 Rake 任务 - 2

    我试图在一个项目中使用rake,如果我把所有东西都放到Rakefile中,它会很大并且很难读取/找到东西,所以我试着将每个命名空间放在lib/rake中它自己的文件中,我添加了这个到我的rake文件的顶部:Dir['#{File.dirname(__FILE__)}/lib/rake/*.rake'].map{|f|requiref}它加载文件没问题,但没有任务。我现在只有一个.rake文件作为测试,名为“servers.rake”,它看起来像这样:namespace:serverdotask:testdoputs"test"endend所以当我运行rakeserver:testid时

  10. ruby - 如何在 Ruby 中顺序创建 PI - 2

    出于纯粹的兴趣,我很好奇如何按顺序创建PI,而不是在过程结果之后生成数字,而是让数字在过程本身生成时显示。如果是这种情况,那么数字可以自行产生,我可以对以前看到的数字实现垃圾收集,从而创建一个无限系列。结果只是在Pi系列之后每秒生成一个数字。这是我通过互联网筛选的结果:这是流行的计算机友好算法,类机器算法:defarccot(x,unity)xpow=unity/xn=1sign=1sum=0loopdoterm=xpow/nbreakifterm==0sum+=sign*(xpow/n)xpow/=x*xn+=2sign=-signendsumenddefcalc_pi(digits

随机推荐