Question 1

Який механізм Rails використовує за замовчуванням для захисту від атак CSRF?

Accepted Answer

Rails генерує унікальний CSRF-токен для кожної сесії та автоматично додає його до форм через приховане (hidden) поле. Цей токен перевіряється на стороні сервера для кожного запиту, відмінного від GET. Хелпер form_with автоматично вставляє цей токен, а protect_from_forgery увімкнено за замовчуванням у ApplicationController.

Question 2

Як вимкнути захист CSRF для конкретної дії в API controller?

Accepted Answer

Метод skip_before_action :verify_authenticity_token вимикає перевірку CSRF для конкретних дій. Це поширене для API, які використовують автентифікацію на основі token (JWT, API key) замість сесій. Рекомендується обмежувати цей виняток лише суворо необхідними діями за допомогою опції only.

Question 3

Яка вразливість використовується в цьому коді: User.where("name = '#{params[:name]}'")?

Accepted Answer

Пряма інтерполяція params у SQL-запит уможливлює SQL injection. Зловмисник може надіслати name="'; DROP TABLE users; --", щоб виконати довільний SQL-код. Натомість використовуйте placeholder ActiveRecord: User.where(name: params[:name]) або User.where("name = ?", params[:name]).

Безпека Rails

Який механізм Rails використовує за замовчуванням для захисту від атак CSRF?

Відповідь

Як вимкнути захист CSRF для конкретної дії в API controller?

Відповідь

Яка вразливість використовується в цьому коді: User.where("name = '#{params[:name]}'")?

Відповідь

Який метод ActiveRecord автоматично захищає від SQL injection?

Як Rails автоматично захищає від XSS-атак у поданнях ERB?

Інші теми співбесід Ruby on Rails

Основи Ruby

Об'єктно-орієнтоване програмування в Ruby

Основи Rails

Routing & Controllers

Основи ActiveRecord

Views та шаблони ERB

Асоціації ActiveRecord

Розширені запити ActiveRecord

Форми Rails

Автентифікація та авторизація

Сучасний Asset Pipeline та frontend

Режим API Rails

Тестування з RSpec

ActiveJob & Background Jobs

ActionCable & WebSockets

ActionMailer

ActiveStorage

Стратегії кешування

Розширені міграції

Rails Engines та модульні застосунки

Оптимізація продуктивності

Патерни проєктування Rails

Метапрограмування в Ruby

GraphQL із Rails

Розгортання та Продакшн

Monitoring & Logging

Стратегії оновлення Rails

Опануй Ruby on Rails для наступної співбесіди