Amazon DynamoDBによるTomcatセッション永続化とフェイルオーバー | DevelopersIO
Tomcatのセッション管理 Tomcatでクラスター構成にする場合、課題となるのがセッション管理です。ロードバランサーでセッションIDを保持することで、毎回同じサーバーにリクエストが向かうのであれば問題なさそうに見えますが、あるサーバーがダウンしてしまうとセッション情報が消えてしまいます。これを解決する方法として、データベースにセッション情報を保持する方法が一般的ですが、データベースへ負荷が掛かりますし、データベースが落ちたら困ります。何かもっと良い方法は無いかと皆さん思っていたはずです。そこで、AWSですよねー。AWSでは、ElastiCacheやDynamoDBがサービスとして提供されています。ここで、永続化をしっかりやってくれるのはDynamoDBであり、AWS SDK for Javaでの登場が待たれていたわけです。そして、このたび出てきました！ スティッキーセッション ロードバ
RailsのCookieStoreの脆弱性についていくつか報告記事が出ていたので、内容を検討してみました。 Ruby on Railsにcookie保存関連の脆弱性、2000サイトで放置状態 http://www.itmedia.co.jp/enterprise/articles/1311/27/news041.html Rails SessionにCookieStore使った時の問題点 http://oauth.jp/blog/2013/09/26/rails-session-cookie/ 読み合わせていくと、以下のような問題があるようです。 -Cookieの情報が抜かれることによって、セッションをハイジャックされる可能性がある --Rails 2系にはXSS脆弱性からCookieの情報が抜かれる可能性がある --Rails 3/4系でもCookieが盗聴される場合は危険 -セッション
Rails sessionのシリアライズにJSONが使われない理由: なぜMarshal? JSON/YAMLの罠 2011-07-18 04:35 Railsのsession情報をJSONやYAMLでシリアライズすると不都合に出遭います。不都合の理由とその解消方法、sessionのシリアライズにJSONやYAMLではなくMarshalが使用される理由について書きます。 Railsと、node.jsのようなRuby以外で書かれた系の双方でsessionを共有する場合に重要です。 RailsのsessionはMarshalでシリアライズするのが一般的 現在、Railsのsession情報をシリアライズして任意のデータストアに永続化する場合、encode64(Marshal.dump(session_data))のようにMarshalしてさらにBase64を使ってバイナリの文字列にしてから永
今日 @mad_p さんからRT来てたこのツイートに関して、ちょっと調べたのでまとめときます。 Security Issue in Ruby on Rails Could Expose Cookies http://t.co/JlsXVEn4rZ — Ruby on Rails News (@RubyonRailsNews) September 25, 2013 前提条件 Railsではデフォルトでsessionをcookieにのみ保存して、DBなりmemcacheなりのserver-side storageには何も保存しません。 これがCookieStoreとか呼ばれてるやつです。 この場合のsession cookieは、Railsのsession object (Hash object) をMarshal.dumpしてそれに署名を付けたtokenです。 rails 4では署名付ける代
Railsはprotect_from_forgeryって書くだけでCSRF対策が有効になってマジ便利なわけだけど、セッションで認証するんじゃなくてiOSから呼ぶAPIとかでトークン使って認証する場合はCSRFの対策いらないので無効にしたい。 その場合は protect_from_forgery with: :null_session ってすればいいらしい。これはCSRF Tokenが一致しなかった場合に例外を投げるんじゃなくてセッションを空にするという動作になる。 ちなみにprotect_from_forgeryのデフォルトは:null_sessionなので protect_from_forgery でもよさそう（Rails 4.0.0現在） ただし最初は以下のようになってるので明示的に変更する必要はある。 class ApplicationController < ActionContr
iOSとAndroidのアプリをつくることになったのでメモがてら連載をしていきたいと思います。 簡単な構造としては、Rails側でバックエンド（データベースとか）、iOSとAndroidはクライアント側ということになります。 つまり、jsonを介して色々やっていきます。 第一回はバックエンドの認証システムを作りましょう。つまり、登録からログインを作ります。 認証システムとしてはdeviseというgemを使います。有名ですね。後ほど時間があれば、0からつくった認証システムでもやってみたいと思います。 では、ぱぱーといきましょう。 まずは、適当にrails newしましょう。 で、次にgemfileに gem ‘devise’ と追加して、bundle installをしてください。 続けて rails generate devise:install rails generate de
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
