Rails：安全會話Cookies

Question

我有一個Rails應用程序，該應用程序沒有用於登錄的用戶界面。用戶登錄由另一個應用程序完成，並且創建了會話。 我們使用Devise進行身份驗證。 現在，當我們檢查會話時，安全標志將設置為false。

根據我的研究，我嘗試在config / initializers / session_store.rb中設置安全標志

My::Application.config.session_store :cookie_store, :key => '_MyApp_session', :secure => true

並重新啟動服務器。 然后，我檢查了仍具有安全標志false的會話對象。

另外，當我在調試器中停止我的應用程序並鍵入會話輸出時

#<ActionDispatch::Request::Session:0x6f43200 not yet loaded>

所以我做了

session[:init] = true

然后檢查安全標記。

如何保護會話對象？

另外，其他cookie在cloud中具有安全屬性true，但在我的本地環境中不顯示secure：true。

Answer 1

secure標志使cookie僅由瀏​​覽器通過https連接而不是純http發送。

如果您的環境不是https，那么secure標志就沒有意義，並且不會被有效設置。 因此，您只能通過https進行測試。