如何使我的Rails 3应用程序的URL中的ID更加安全/混淆？

Question

我当前的应用程序在URL中使用非常基本的user_id和message_id。 我想让id被混淆，以便有人手动更改id并跳转到别人的消息等等是不容易的。

我怎么做？

Answer 1

问题应该是“我如何签署我的URL参数，因此无法更改”。

使用只有后端代码（服务器）知道的秘密盐。 然后做一些事情，比如连接所有参数（在你的情况下，只是id）和salt，并创建一个SHA哈希。 将哈希附加到您的URL。 在您的控制器中，添加before_filter以检查哈希的正确性。

现在当有人更改id时，他们还必须重新生成哈希，如果没有秘密盐，这是不可能的。 您可以通过使用session-id，timestamp等作为计算超时等的组件之一来改进这一点。

Answer 2

UUID。 我是rails的新手，但我知道有一些选项，因为我需要你想要的相同安全性。 首先是随机id而不是顺序的UUIDtools gem。 显然Rails 3支持uuid作为数据类型，但它没有被广泛使用。