Как я могу сделать файлы cookie безопасными (только https) по умолчанию в rails?

Нет необходимости исправлять ActionController/ActionDispatch, а force_ssl имеет побочные эффекты (например, когда за ELB).

Самый простой способ получить безопасные файлы cookie — изменить config/initializers/session_store.rb:

MyApp::Application.config.session_store( 
  :cookie_store, 
  key: '_my_app_session',
  secure: Rails.env.production?
)

начиная с rails 3.1, согласно руководству по безопасности rails, вы можете просто установить следующее в вашем application.rb:

config.force_ssl = true

это заставляет cookie отправляться только через https (и я предполагаю, что все остальное тоже).

Спасибо @knx, вы направили меня по правильному пути. Вот мой обезьяний патч, который я придумал, который, похоже, работает:

class ActionController::Response
  def set_cookie_with_security(key, value)
    value = { :value => value } if Hash != value.class
    value[:secure] = true
    set_cookie_without_security(key, value)
  end
  alias_method_chain :set_cookie, :security
end

Как вы думаете?

Чтобы принудительно использовать SSL и включить безопасный файл cookie для всего приложения Ruby on Rails, включите force_ssl в файле среды, таком как production.rb.

# config/environments/production.rb
config.force_ssl = true

Если вам необходимо поддерживать HTTP- и HTTPS-трафик с вашим приложением Ruby on Rails, установите для своего приложения флаг безопасных файлов cookie, чтобы сеансовые файлы cookie отправлялись ТОЛЬКО через HTTPS.

Следствием этого является то, что вы больше не можете поддерживать состояние сеанса через HTTP, но вы, по крайней мере, защищаете себя от атак перехвата сеанса.

# config/initializers/session_store.rb
# set secure: true, optionally only do this for certain Rails environments (e.g., Staging / Production
Rails.application.config.session_store :cookie_store, key: '_testapp_session', secure: true

Вот видеоурок того же самого.

Быстрое и грязное решение: я думаю, это возможно, изменив метод []= в модуле файлов cookie пакета действий (actionpack/lib/action_controller/cookies.rb)

от:

    def []=(name, options)
      if options.is_a?(Hash)
        options = options.inject({}) { |options, pair| options[pair.first.to_s] = pair.last; options }
        options["name"] = name.to_s
      else
        options = { "name" => name.to_s, "value" => options }
      end

      set_cookie(options)
    end

to:

    def []=(name, options)
      if options.is_a?(Hash)
        options.merge!({:secure => true})
        options = options.inject({}) { |options, pair| options[pair.first.to_s] = pair.last; options }
        options["name"] = name.to_s
      else
        options = { "name" => name.to_s, "value" => options }
      end

      set_cookie(options)
    end

Вы должны посмотреть на гем Rack-ssl-enforcer. Я просто искал четкий ответ на этот вопрос, и он решает проблему независимо от того, на какой версии Rails вы работаете, плюс он чрезвычайно настраиваемый.

Вы можете сделать это, как указано в некоторых из приведенных выше ответов (используйте параметр secure в файле config/initializers/session_store.rb):

MyApp::Application.config.session_store :cookie_store, key: '_my_app_session',
                                                       secure: Rails.env.production?

который защитит только файл cookie сеанса, но другие файлы cookie не будут защищены.

Если вы хотите защитить все файлы cookie в своем приложении Rails по умолчанию, вы можете использовать гем secure_headers. Просто добавьте гем secure_headers в свой Gemfile, гем bundle install и создайте файл config/initializers/secure_headers.rb со следующим содержимым:

SecureHeaders::Configuration.default do |config|
  config.cookies = {
    secure: true, # mark all cookies as "Secure"
  }
end

Это сделает все файлы cookie безопасными в вашем приложении Rails по умолчанию.

Вы также можете добавить эти рекомендуемые конфигурации и установить параметры httponly и samesite:

SecureHeaders::Configuration.default do |config|
  config.cookies = {
    secure: true, # mark all cookies as "Secure"
    httponly: true, # mark all cookies as "HttpOnly"
    samesite: {
      lax: true # mark all cookies as SameSite=lax
    }
  }
end