hidden_fieldを使わずに安全に値を渡す方法について教えてください

現在、
1つの記事は複数のコメントを持つような機能を実装しました。
その際に、コメント作成のために、hidden_fieldのなかに
記事の外部キーを入れてコメント作成していますが、
つい最近hidden_fieldでの値渡しは危険という記事を見ました。

その記事では、
セッションを利用して行うと記述してありましたが、
実際の現場でもセッションを利用して行っているのでしょうか？

それとも別の方法で行っているでしょうか？

お手数おかけしますが、
よろしくお願いします。

行動規範の内容に同意します

回答2件

ベストアンサー

rails は使ったことないし、状況がいまひとつ理解できていませんが、hidden_field というのは、<input type="hidden" /> で HTML を構築する、ということですよね。
ということは、表示上見えないだけで、HTML のソースに hidden_field の値は暗号化されずに入っていますから、ブラウザでソースを確認すればユーザも見えますし、https でなければ経路上で値を盗み見ることも可能なわけです。
問題はユーザに見られてまずくないか、経路上で盗聴されてまずくないか、ユーザに変更されてまずくないか、というところかと思います。

今回のケースでは、ユーザが hidden の値を書き換えて POST してくることで、元々の記事とは違う記事にコメントがついてしまったり、ということが考えられます。
ので、たいした被害はないと言えばないのかもしれませんが、セッションを使わない特別な理由はふつうないので、素直にセッションを使うのがよいと思います。

投稿2016/04/25 08:54