正在使用RinRuby安全的網絡解決方案？

我記得我在紐約參加過的一些聚會上，貝爾實驗室的人們正試圖在網絡上用R來解決潛在的安全問題。如果R會話保持爲用戶活動狀態，則代碼注入Web應用程序可能存在風險。正在使用RinRuby安全的網絡解決方案？

現在，這是在HTML 5和PHP的上下文中展示的，但是我沒有看到使用RinRuby創業板的RoR會有什麼不同。我們應該遵循一套規則來避免使用此gem時的常見安全隱患？

2013-05-30 JAponte

安全漏洞通常是一個非常具體的實現細節。您必須查看特定漏洞的確切上下文以瞭解其是否轉化。但是，*任何有外部訪問的系統都可能包含*。（搜索*應該*揭示哪些漏洞已經影響了所述web框架，如果它們被修補/更正，以及它們如何被緩解。） – user2246674

R一般來說並不是考慮到安全性而構建的（另請參閱jeroen Ooms在arXiv上的preprint）。它也是臭名昭着的flaky parsing of numbers。

從源代碼來看（這是not updated for 2 years（）！）RinRuby似乎不提供任何形式的隔離，從注射或者 - 裸機eval是通往地獄，他們說:)

因此，它落在你的肩膀上，以遵循例如OWASP guidelines通過仔細驗證，參數化和白名單輸入來避免注入。考慮到解析數字時出現的上述怪癖，您必須將輸入限制爲合理的時間間隔。

只是我的2美分...

2013-06-02 13:02:28

謝謝@DeerHunter。我打印了一份Ooms的論文。這幾乎是我正在尋找的信息。我發現爲Web安全部署R解決方案可能是一個巨大的痛苦，所以我只會使用Ruby來達到這個目的。 – JAponte

回答