Rails：設計寶石是否安全？

我在我的web應用程序上運行設計寶石我的身份驗證。我想知道它是否安全。是的，它將密碼存儲爲數據庫中的哈希值，登錄後使用加密的令牌等。但在初始登錄階段如何？它是否通過無線發送未加密的用戶密碼（我沒有SSL）？客戶端是否可以用只有服務器可以解密的特定公鑰對其進行加密？或者SSL是加密用戶密碼的唯一方法？Rails：設計寶石是否安全？

謝謝！

來源

2012-05-03 Karan

當使用瀏覽器作爲客戶端，TLS是防止MITM /主動攻擊的唯一途徑。有幾種技術可以防範被動攻擊者，但我強烈建議TLS。 – CodesInChaos

「請注意，HTTP基本驗證以明文形式傳輸用戶名和密碼，因此您不應該將此方法用於需要更高安全級別的應用程序。」

http://pivotallabs.com/users/ledwards/blog/articles/1534-http-basic-authentication-and-devise

來源

2012-05-27 00:41:12 Karan

這是安全的，請記住rails使用authenticity_token。我還沒有聽說過有關問題。

來源

2012-05-03 10:34:19 Benjamin

ah - 此身份驗證令牌用於加密用戶的密碼，例如，在客戶端本身？ – Karan

檢查了這一點。 http://stackoverflow.com/questions/941594/understand-rails-authenticity-token – Benjamin

很好的解釋。謝謝Vezu。據我所知，authentication_token用於保護用戶不受CSRF的影響 - 身份驗證令牌存儲在forms字段中，但是，它仍然不會說發送給服務器的表單是純文本還是由令牌本身加密。 – Karan

Rails：設計寶石是否安全？

回答

相關問題