brakeman

2热度

2回答

我目前正在尝试为我的网站制作转推系统，但是我遇到的问题是我有转发表单独的帖子表，我无法找到一个简单的将它们合并在一起的方式。这是我的表结构 retweets { retweet_id, retweet_post_id, retweet_user_id, retweet_time } posts { post_id, post_typ

0热度

1回答

Rails：从没有模型的表中检索值

在rails中有没有办法从没有任何模型的表中检索值？我已经创建了一个表item_types，其中的item_id是其他表项的主键。项目表中的每个项目可以有3个或4个item_types。这里我想用一个特定的item_id来显示一个item的相应item_types。我们只是在一个变量@ item.id中有一个特定项目的item_id我试图组成一个sql查询，但我不知道如何在没有模型的情况下实现它。

0热度

1回答

质量分配的假警告由Brakeman Gem在model.new和model.update_attibutes和model.create中引发

质量分配是Rails的一项功能，它允许应用程序根据散列值创建记录。有两种不同的质量分配警告可能出现。首先是实际发生质量分配时。示例： - User.new(params[:user]) 虽然我没有直接使用散列来映射表中可用的字段。相反，我做这样的事情： User.new(:first_name => params[:first_name], :last_name => params[:last

0热度

1回答

如何修复brakeman生成的rails中的Cross Site Scripting安全警告？

我在我的应用程序中使用了brakeman来生成扫描报告。它以高可信度生成了许多跨站脚本安全警告。在它们中的一个是：直列邻近线47呈现未逸出参数值：呈现（文本=> “意外的EventType＃{PARAMS [” 的EventType “]}”，{：状态=> 406}）应用/controllers/event_controller.rb。在下面显示的控制器方法中，第一行显示上述警告。我在l

7热度

3回答

如何运行红宝石宝石的特定版本

我在我的Gemfile之外运行了brakeman，所以我没有使用bundler。如果我做gem list，我可以看到我对司闸员 brakeman (3.3.3, 3.3.2, 3.1.4, 3.1.2) 以下，但如果我这样做brakeman --version，我得到 brakeman 3.1.2 所以我不使用最新版本。如果我做gem update brakeman或 gem updat

1热度

2回答

无法防止SQL注入在Rails中的查询

我正在使用Rails项目并使用Brakeman作为调试工具。我用查询从表中获取数据，但在Brakeman的测试中，它指出查询中存在Sql Injection Possibility。这里是我的查询： Applicant.all.where("profile_id=#{current_user.profile.id}").first 但我不知道有什么问题与此查询，如果没有固定它，然后我怎么能阻

1热度

1回答

Brakeman中的“Unscoped call to”警告是什么？

当我使用Brakeman的工具扫描我的代码时，我收到一条警告消息。据指出，有以的无作用域调用下面的查询： @applicant = Applicant.find(params[:id]) 下面是实际的错误消息： +------------+----------------------+---------+---------------+-----------------------------

1热度

1回答

Brakeman正则表达式锚不足的验证警告

我试图在这样的模型中实现验证。 validates_format_of :field, with: /[0-9]/, message: 'must have at least one number (0-9)' 制动手检测这个Format Validation安全问题，并建议到正规表达式之间添加锚点。对使用/ [0-9] /的'field'进行验证不够。在第54行附近使用\ A和\ z作

0热度

1回答

Brakeman对Rails，S3，Paperclip无保护的重定向

1热度

1回答

删除在导轨

指令喷射所以我有一个使用ImageMagick一个辅助和里面的方法，其上的命令行强制zbar到从图像中提取QR数据。图像源必须是参数化的。 qr_code_data = %x(zbarimg -q #{src}) brakeman给了我一个command injection警告这里，很明显。只使用backticks给出了同样的警告，而system会产生所需的结果，它返回true，而不是输出。我