对于Web解决方案使用RinRuby是否安全？

Question

我记得在纽约参加的一些聚会中，贝尔实验室的人们正在尝试使用R在网络上解决潜在的安全问题。 如果R会话对用户有效，则存在将代码注入Web应用程序的潜在风险。

现在，这是在HTML 5和PHP的上下文中介绍的，但是我看不到将RoR与RinRuby gem一起使用时会有什么不同。 作为开发人员，在使用此gem时，我们应遵循一些规则来避免常见的安全隐患吗？

Answer 1

通常，R并不是在考虑安全性的情况下构建的（另请参见Jeroen Ooms在arXiv上的预印本 ）。 不稳定的数字解析也臭名昭著。

从源代码来看（ 两年没有更新 ！），RinRuby似乎也没有提供任何与注入的隔离-裸露的eval是通向地狱的门户，他们说：）

因此，遵循诸如OWASP指导原则来避免通过仔细验证，参数化和将输入列入白名单而避免注入的责任。 考虑到上述解析数字的怪癖，您必须将输入限制为合理的时间间隔。

只是我的2美分...