Railsのセキュリティーについて教えてください。

Question

Rails5.1.3でWebアプリケーションの勉強をしながら、実際に公開することを目指して制作しています。
セキュリティーについてよくわからないのですがSQLインジェクション、セッションハイジャック、セッション固定化についての
質問です。

1，SQLインジェクションについて
whereメソッドで検索を行うときは、変数を直接打ち込んではいけませんと参考書に書いてありました。
以下のような記述はSQLインジェクション対策上、大丈夫なものでしょうか？

@unsub = Register.where("rg_#{@month}": "退会").pluck(:customer_id)

@mysponsor = Customer.where(sponsor1: mynickname)

2，セッションハイジャックについて
ただ単に＃を外すだけでいいのでしょうか？
外すことにより表示とか、動作とかに影響はないのでしょうか？

config/environments/production.rb

config force_ssl = true ---------------------#を外す。

3，セッション固定化
controllerのはじめに「reset_session]という一行を打ち込むとありました。
全てのコントローラに打ち込むとして、表示とか、動作とかに影響はないのでしょうか？

class Customer::AccountsController < Customer::Base
　reset_session -----------------------------この一行を打ち込む。
  def show
    @acc_name = @customer.family_name + ' ' + @customer.given_name  
    @acc_name_kana = @customer.family_name_kana + ' ' + @customer.given_name_kana
  end

どなたか教えていただけないでしょうか？宜しくお願いします。

Answer 1

まずは、次のページを読むことをお勧めします。
Rails セキュリティガイド
https://railsguides.jp/security.html

... このマニュアルでは、Webアプリケーション全般におけるセキュリティの問題と、Railsでそれらの問題を回避する方法について説明します。 ...

Comments

[退会済みユーザー]

Rubyには、素晴らしい資料があるんだなぁと感動しました。
言語のフレームワークがほぼ固定化しているメリットですね。

[koume]

回答ありがとうございます。とても参考になる資料を教えてくださり助かりました。
今後とも宜しくお願いします。

[umyu]

横から失礼します、このガイドの日本語ドキュメントは内容が英語版と比較して少し古い気がします(2.2 Session IDの項）など。
英語を読めるなら原文を読むほうがいいと思われます。
http://guides.rubyonrails.org/security.html

Answer 2

資料に書かれていない観点で、補足的な回答などを、、、。

1. "rg_#{@month}": "退会"は、キー名を変数化しているようですが、これはSQLインジェクション攻撃に利用される可能性があります。こんな検索を行う必要はないのでは？
2. コードやDBや設定ファイルにhttp://...形式で書いてあるURLはないですか？それらはすべてSSLの対象外となります。
3. なんのためにセッションを使うのかという観点からすると、通常はユーザを識別するためです。毎回セッションをリセットしていたら意味がありません。大事なことは、権限を持たないゲストユーザから正式ユーザになるとき、つまりログインなどでユーザの権限に変化があるときに、前のセッションを破棄して、新しいセッションを開始するようにします。つまり、ログイン時とログアウト時に呼び出すのが普通です。

Comments

[koume]

回答ありがとうございます。コードを工夫して作り直してみます。今後とも宜しくお願いします。

[koume]

もう一つ質問させてください。
@mysponsor = Customer.where(sponsor1: mynickname)のmynicknameも変数なのですが、こちらは大丈夫でしょうか？
whereメソッドで変数を使うときは、ハッシュで指定する。という文章を見つけましたので大丈夫かな？と思いましたが、不安なので教えていただけないでしょうか？

[退会済みユーザー]

そちらは問題ないと思います。whereの中でサニタイズされるともいます。
資料にある例は、SQLを文字列連結で作る例なので問題なのです。

[koume]

ご親切にありがとうございます。助かりました。

Answer 3

Railsに限らず、Webアプリケーション一般が対象ですが一読をお勧めします。

安全なウェブサイトの作り方
つhttps://www.ipa.go.jp/security/vuln/websecurity.html

Comments

[koume]

回答ありがとうございます。参考にさせていただきました。今後とも宜しくお願いいたします。