如何使用 Rails 主动存储从 url 保存图像？

Question

我希望使用 rails 5.2 主动存储来保存位于另一个 http web 服务器上的文件（在本例中为图像）。

我有一个带有源 url 字符串参数的对象。然后在 before_save 上，我想抓取远程图像并保存它。

示例：图片的 URL http://www.example.com/image.jpg。

require 'open-uri'

class User < ApplicationRecord
  has_one_attached :avatar
  before_save :grab_image

  def grab_image
    #this indicates what I want to do but doesn't work
    downloaded_image = open("http://www.example.com/image.jpg")
    self.avatar.attach(downloaded_image)
  end

end

提前感谢您的任何建议。

Answer 1

刚刚找到我自己问题的答案。我的第一直觉非常接近......

require 'open-uri'

class User < ApplicationRecord
  has_one_attached :avatar
  before_save :grab_image

  def grab_image
    downloaded_image = open("http://www.example.com/image.jpg")
    self.avatar.attach(io: downloaded_image  , filename: "foo.jpg")
  end

end

更新：请注意下面的评论，“您必须注意不要将用户输入打开，它可以执行任意代码，例如 open("|date")”

Answer 2

使用down gem 来避免使用 open-uri 的安全问题：

image = Down.download(image_url)
user.image.attach(io: image, filename: "image.jpg")

Answer 3

正如 cmets 中所说，使用open 或URI.open 是非常危险的，因为它不仅可以访问文件，还可以通过前缀管道符号（例如open("| ls")）来处理调用。

Kernel#open 和 URI.open 不仅可以访问文件，还可以通过前缀管道符号（例如，open("| ls")）进行进程调用。因此，在Kernel#open 和URI.open 的参数中使用变量输入可能会导致严重的安全风险。最好明确使用File.open、IO.popen 或URI.parse#open。

摘自 Rubocop 文档：https://docs.rubocop.org/rubocop/1.8/cops_security.html#securityopen

因此，更安全的解决方案是：

class User < ApplicationRecord
  has_one_attached :avatar
  before_save :grab_image

  def grab_image
    downloaded_image = URI.parse("http://www.example.com/image.jpg").open
    avatar.attach(io: downloaded_image, filename: "foo.jpg")
  end
end

Answer 4

无需显式输入文件名的最简单方法是：

url = URI.parse("https://your-url.com/abc.mp3")
filename = File.basename(url.path)
file = URI.open(url)
user = User.first
user.avatar.attach(io: file, filename: filename)

这会针对该特定用户对象自动保存头像。

如果您使用像 S3 这样的远程服务，则可以通过以下方式检索 URL：

user.avatar.service_url