ちょっと前にRubyの脆弱性対応したときのメモ。時間経っちゃいましたが。

任意のコードが実行される脆弱性について
http://www.ruby-lang.org/ja/news/2008/06/20/arbitrary-code-execution-vulnerabilities/

Rails 2.0系、Ruby 1.8.6系で使ってたので、Ruby 1.8.6-p230に更新したのですが、何やらエラーが。

glibcでメモリ解放のエラーっぽいのが出てしまう。

当時は日本語の情報がまったく見当たらず(今はGoogleでいくつか引っかかりますね)、英語サイトではパッチが公開されたりしてたのですが、試す余裕＆勇気がなくどうしようかと。A^^;

で、結局 Ruby 1.8.7に更新したのですが、Rails 2.0系って Ruby 1.8.7は対応していないので、少し手をいれないといけません。

Rubyで String#charsが定義されたのですが、Railsでは ActiveSupportで用意された charsを使わないといけないというのが問題の様。

config/environment.rbをちょこっといじるだけで、とりあえず回避できます。。ふぅ A^^;

if RAILS_GEM_VERSION == '2.0.1' && RUBY_VERSION >= '1.8.7' class String remove_method :chars end end

参考: ruby 1.8.7 と rails 2.0.2
http://znz.s1.xrea.com/t/?date=20080606#p01

RESTアプリケーションはステートレスなので、認証が必要な場合は毎回リクエスト毎に認証が必要になります。

認証方法は HTTP Basic認証が推奨？されていて、Rails 2.0では Basic認証機能が強化(追加？)されてるようですね。

クライアント側でのリソースの参照に ActiveResourceを使う場合は、サイトのURLにユーザ名、パスワードを追加しておけばOKです。

class Entry < ActiveResource::Base self.site = "http://user1:pass1@localhost:3000/" end

こうしておけば、リクエスト時に Authorizationヘッダを追加してくれるんですね。

ところで、この site属性はクラススコープなので、リソース単位に一意になるんですが、複数のアカウントで切り替えたい場合(普通はないのかな？)にちょっと困ります。

ActiveResourceでは siteのURLを元に、connection属性(これもクラススコープ)を作っているようなので、これをいじればいいのかもしれません。

別の方法として、headers属性(ハッシュ、クラススコープ)というのがあって、ここにヘッダを追加しておくと、リクエスト送信時にヘッダに追加してくれるようです。

ということは、ここに Authorizationヘッダを追加してやれば、動的に認証情報を設定できるのかも。。

というわけで、以前作った MultiModelScope(see. [Rails] 複数のモデルに with_scope。)を真似て、MultiResourceScopeというのを作ってみました。

複数のリソースにまたがって、動的に認証を切り替えたいという場合に使えます。

class MultiResourceScope def initialize @resources = [] end def resources ; @resources ; end def with_authorization(user, password = "", &block) begin # Basic 認証のみ credential = ["#{user}:#{password}"].pack('m').delete("\r\n") resources.each do |r| r.headers['Authorization'] = "Basic #{credential}" end yield ensure resources.each do |r| r.headers.delete('Authorization') end end end end

こんなカンジに使うことを想定。

scope = MultiResourceScope.new scope.resources << Entry scope.resources << Archive e = Entry.find(1) => ActiveResource::ClientError: Failed with 401 Unauthorized # ★認証エラー : a = Archive.find(1) => ActiveResource::ClientError: Failed with 401 Unauthorized # ★認証エラー : # ブロック内で認証 scope.with_authorization("user1", "pass1") do e = Entry.find(1) puts "#{e}: #{e.owner}" a = Archive.find(1) puts "#{a}: #{a.owner}" end # 別のアカウントで認証 scope.with_authorization("user2", "pass2") do e = Entry.find(1) puts "#{e}: #{e.owner}" a = Archive.find(1) puts "#{a}: #{a.owner}" end => "Entry: user1" "Entry: user1" "Entry: user2" "Entry: user2"

認証方法を変えられるようにしたり便利かも。A^^;