Question 1

Rails が CSRF 攻撃から保護するためにデフォルトで使用する仕組みは何ですか?

Accepted Answer

Rails はセッションごとに一意の CSRF トークンを生成し、hidden フィールドを通じてフォームに自動的に含めます。このトークンは GET 以外のすべてのリクエストでサーバー側で検証されます。form_with ヘルパーがこのトークンを自動的に挿入し、protect_from_forgery は ApplicationController でデフォルトで有効になっています。

Question 2

API controllerの特定のactionでCSRF保護を無効にするにはどうすればよいですか？

Accepted Answer

skip_before_action :verify_authenticity_token メソッドは特定のactionでCSRF検証を無効にします。これはsessionではなくtokenベースの認証（JWT、API key）を使用するAPIで一般的です。only オプションを使って、この例外を厳密に必要なactionのみに限定することが推奨されます。

Question 3

このコードで悪用される脆弱性は何ですか：User.where("name = '#{params[:name]}'")？

Accepted Answer

SQLクエリにparamsを直接展開するとSQL injectionが可能になります。攻撃者は name="'; DROP TABLE users; --" を送信して任意のSQLコードを実行できます。代わりにActiveRecordのplaceholderを使用してください：User.where(name: params[:name]) または User.where("name = ?", params[:name])。

Rails のセキュリティ

Rails が CSRF 攻撃から保護するためにデフォルトで使用する仕組みは何ですか?

回答

API controllerの特定のactionでCSRF保護を無効にするにはどうすればよいですか？

回答

このコードで悪用される脆弱性は何ですか：User.where("name = '#{params[:name]}'")？

回答

SQL injectionから自動的に保護するActiveRecordのメソッドはどれですか？

Rails は ERB ビューにおいて XSS 攻撃からどのように自動的に保護しますか？

その他のRuby on Rails面接トピック

Rubyの基礎

Rubyのオブジェクト指向プログラミング

Rails の基礎

Routing & Controllers

ActiveRecord の基礎

Views と ERB テンプレート

ActiveRecord の関連付け

高度なActiveRecordクエリ

Rails フォーム

認証と認可

モダンな Asset Pipeline とフロントエンド

Rails APIモード

RSpecによるテスト

ActiveJob & Background Jobs

ActionCable & WebSockets

ActionMailer

ActiveStorage

キャッシュ戦略

高度なマイグレーション

Rails Engines とモジュラーアプリ

パフォーマンス最適化

Rails のデザインパターン

Rubyのメタプログラミング

Rails での GraphQL

デプロイと本番環境

Monitoring & Logging

Rails アップグレード戦略

次の面接に向けてRuby on Railsをマスター