Rails：在“会话”中存储数据安全吗？

Question

我想将当前登录用户的类型存储在session[:user_type] 中。选项有：“admin”、“end_user”、“demo”（将来可能会添加更多用户类型）。

我想知道在 Rails 3 应用程序中这样做是否安全。

用户能否以某种方式将session[:user_type] 从“demo”更改为“admin”？

Answer 1

这取决于您的会话存储。
默认情况下使用 cookie 作为会话存储，因此默认情况下它是不安全的，很容易更改 cookie 的内容。

所以你可以：

• 更改您的会话存储 config/initializers/session_store.rb 并使用 activerecord 存储（因此它将存储在 db 中）或 memcache 存储。 github 上还有很多插件可以让你使用 redis、mongodb 等作为会话存储
• 将此信息存储在您的数据库中，并在您的 application_controller 中使用 before_filter 访问 cookie 以获取当前用户 ID 并在变量 @current_user 中获取整个用户对象

Answer 2

看这个帖子：Rails sessions current practices