Rails 5：尝试从未过滤的请求参数生成 URL - 如何找到要列入白名单的参数

Question

我正在使用 Rails 5 和这个链接

 <%= link_to 'Pdf', payments_path(params.merge(format: :pdf)), :target => "_blank" %>

原因：

试图从未经过滤的请求参数生成 URL！一个 攻击者可以在生成的 URL 中注入恶意数据，例如 换主机。白名单并清理传递的参数 安全。

我已经看到了一些关于这个问题的问题，.merge 是如何导致这个问题的。

有一段时间我只是使用params.permit! 来避免遇到问题，但显然这不是解决方案。

所以我知道我必须将必要的参数列入白名单。

不足以创建通常的：

 def whatever_params
     params.require(:whatever).permit(.....)
end

并将所有必要的参数列入白名单？

我是 Rails 新手，到目前为止，我已将表单的参数列入白名单，因此关于 POST 参数。在这种情况下，我只包含表单字段中使用的参数。但我知道这是关于 url 上的参数，所以查询字符串参数。那么这是关于从 ransack 或 will_paginate （我正在使用的宝石）传递给 url 的参数吗？这让我很困惑..

如何准确检查需要将哪些参数列入白名单以避免收到该错误？

Answer 1

1.是的。创建像whatever_params 这样的简单方法并使用params.require(:whatever).permit(..) 或params.permit(...) 就足够了

2.将您使用的所有参数移至白名单。例如，您有 GET 请求，其中包含大量参数，但只使用其中一些参数，它们是可选的：

def my_params
  params.permit(:category, :name, :age) #params that you use
end