# Безпека Rails (Ruby on Rails)

> Захист CSRF, SQL-ін'єкція, XSS, mass assignment, керування secrets, HTTPS

- 22 питань зі співбесід
- Senior
- [Питання зі співбесід: Ruby on Rails](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy.md)

## 1. Який механізм Rails використовує за замовчуванням для захисту від атак CSRF?

**Відповідь**

Rails генерує унікальний CSRF-токен для кожної сесії та автоматично додає його до форм через приховане (hidden) поле. Цей токен перевіряється на стороні сервера для кожного запиту, відмінного від GET. Хелпер form_with автоматично вставляє цей токен, а protect_from_forgery увімкнено за замовчуванням у ApplicationController.

## 2. Як вимкнути захист CSRF для конкретної дії в API controller?

**Відповідь**

Метод skip_before_action :verify_authenticity_token вимикає перевірку CSRF для конкретних дій. Це поширене для API, які використовують автентифікацію на основі token (JWT, API key) замість сесій. Рекомендується обмежувати цей виняток лише суворо необхідними діями за допомогою опції only.

## 3. Яка вразливість використовується в цьому коді: User.where("name = '#{params[:name]}'")?

**Відповідь**

Пряма інтерполяція params у SQL-запит уможливлює SQL injection. Зловмисник може надіслати name="'; DROP TABLE users; --", щоб виконати довільний SQL-код. Натомість використовуйте placeholder ActiveRecord: User.where(name: params[:name]) або User.where("name = ?", params[:name]).

## Ще 19 доступних питань

- Який метод ActiveRecord автоматично захищає від SQL injection?
- Як Rails автоматично захищає від XSS-атак у поданнях ERB?

Зареєструйся безкоштовно: https://sharpskill.dev/uk/login

## Інші теми співбесід Ruby on Rails

- [Основи Ruby](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/ruby-basics.md): 25 запитань, Junior
- [Об'єктно-орієнтоване програмування в Ruby](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/ruby-oop.md): 20 запитань, Junior
- [Основи Rails](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/rails-fundamentals.md): 18 запитань, Junior
- [Routing & Controllers](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/routing-controllers.md): 22 запитань, Junior
- [Основи ActiveRecord](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/active-record-basics.md): 25 запитань, Junior
- [Views та шаблони ERB](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/views-erb-templates.md): 20 запитань, Junior
- [Асоціації ActiveRecord](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/active-record-associations.md): 24 запитань, Mid-Level
- [Розширені запити ActiveRecord](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/active-record-queries.md): 28 запитань, Mid-Level
- [Форми Rails](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/rails-forms.md): 20 запитань, Mid-Level
- [Автентифікація та авторизація](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/authentication-authorization.md): 22 запитань, Mid-Level
- [Сучасний Asset Pipeline та frontend](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/rails-asset-pipeline.md): 18 запитань, Mid-Level
- [Режим API Rails](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/rails-api-mode.md): 20 запитань, Mid-Level
- [Тестування з RSpec](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/rails-testing-rspec.md): 24 запитань, Mid-Level
- [ActiveJob & Background Jobs](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/active-job-background-jobs.md): 20 запитань, Mid-Level
- [ActionCable & WebSockets](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/action-cable-websockets.md): 18 запитань, Mid-Level
- [ActionMailer](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/action-mailer.md): 18 запитань, Mid-Level
- [ActiveStorage](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/active-storage.md): 20 запитань, Mid-Level
- [Стратегії кешування](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/caching-strategies.md): 20 запитань, Mid-Level
- [Розширені міграції](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/database-migrations-advanced.md): 20 запитань, Mid-Level
- [Rails Engines та модульні застосунки](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/rails-engines-modular-apps.md): 18 запитань, Senior
- [Оптимізація продуктивності](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/performance-optimization.md): 26 запитань, Senior
- [Патерни проєктування Rails](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/rails-design-patterns.md): 22 запитань, Senior
- [Метапрограмування в Ruby](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/ruby-metaprogramming.md): 20 запитань, Senior
- [GraphQL із Rails](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/graphql-rails.md): 20 запитань, Senior
- [Розгортання та Продакшн](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/rails-deployment-production.md): 20 запитань, Senior
- [Monitoring & Logging](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/monitoring-logging.md): 20 запитань, Senior
- [Стратегії оновлення Rails](https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/rails-upgrade-strategies.md): 18 запитань, Senior

---

Source: SharpSkill (https://sharpskill.dev), tech interview preparation for your real stack.
HTML version of this page: https://sharpskill.dev/uk/technologies/ruby-on-rails/pytannia-spivbesidy/rails-security