如何在 Rails 2.1 中的會話 cookie 上設置 HttpOnly？

Question

我注意到 Rails 2.2（目前是 edge）支持在 session cookie 上設置 HttpOnly 。

有沒有辦法在不移動到 edge/2.2 的情況下在 Rails 2.1 應用程序上設置它？

Answer 1

好吧，正如您所指出的，它不受支持，但是您當然可以對 Rails 進行猴子補丁來做您想做的事。 實際上，在這種情況下直接修補 Rails 與猴子修補之間的區別非常小，因為升級到 2.2 時兩者都會被刪除/恢復。

在這兩種情況下，您都會將應用的差異視為自己修補 2.1 的指南 - 通過直接應用補丁（以任何 2.1/邊緣差異為模），或者通過在環境加載后從您自己的代碼重新打開這些類來應用變化。

Answer 2

我已經編寫了一個猴子補丁來將此支持添加到 Rails 2.1，來自 Rails 2.2 的補丁。

我沒有在 Rails 2.1 以外的任何東西上測試過，你的里程可能會有所不同！

Answer 3

在 cookie 的選項哈希中將http_only選項設置為 true：

cookies['visits'] = { :value => '20', :http_only => true }