小恩爱在第二版开始采用rails框架进行开发，在体验极度便捷的同时，我们也得时刻提防便利同时带来的安全隐患。 昨天得知Github被Hack，让我再次提高了警惕。下面让我们看看Rails是如何带来的安全隐患。

Github发生了什么

Github上Rails的master被hacker插入了一个commit，Github终于被入侵了。这事情在国外的开发圈闹得沸沸扬扬，这几天在微博上我也看到相关的消息。

Github是如何被Hack，Rails出现了什么问题

Rails拥有极大的便利我们使用的ActiveRecord，当我们需要插入一条数据库时，特别是提交10多项表单的时候喜欢使用下面这样的语句，这就是我们熟悉的massive assignement 特性

model = Model.create(params[:post])
model.save

举个简单的例子说明这个问题

假设我们有一个users表，我们有如下字段:

id  username    password    nickname    motto    point    created_at   updated_at   

其中，point表示积分

我们有一个用户注册的单项

<%= form_for @post do |f| %>
<%= f.text_field :username %>
<%= f.text_field :passowrd %>
<%= f.text_field :nickname %>
<%= f.text_field :motto %>
<%= f.sumbit "Submit" %>
<% end %>

后台提交代码如下

class UserController < ApplicationController
    def create
        @user = User.create(params[:post])
        if @user.save
            # do something
        else
            # do another thing
        end
    end
end

用起来的确非常简单，如此多的表单只要一句话就搞定了，但是真是这一句话，稍不留神就带来了安全隐患。

剖析Rails安全隐患

正常情况下，这段代码可能很顺利的运行，但是如果Hacker在post多加一个字段会如何？但我们在post里面增加一项point，把value设置成99999，我们会惊奇的发现，该新注册用户瞬间就拥有了99999个积分。举一个例子。拿这个漏洞还可以盗用别人的名义发信息，添加任何人为好友等等

Rails的漏洞？如何解决？

很多人在微博上惊呼，Rails出现重大bug，其实不然，真正的原因在于开发者自己，Rails早就为我们做好的这方面的考虑，Rails为Model提供了attr_accessible或attr_protected，这个属性的作用是保护字段，受保护字段只能通过@post.point = 10这种方式赋值，这样就解决了上述情况带来的风险。

class User < ActiveRecord::Base
    attr_accessible :username, :nickname, :motto
    #或者
    #attr_protected :id, :point, :password, :created_at, :updated_at
    #
    # !! 个人认为，从防御式编程的角度讲， attr_accessible 更安全 
end