Comment définir HttpOnly sur un cookie de session dans Rails 2.1?

Question

Je remarque que Rails 2.2 (actuellement en bordure) prend en charge paramètre HttpOnly sur le cookie de session .

Existe-t-il un moyen de le configurer sur une application Rails 2.1 sans passer à Edge / 2.2?

Answer 1

J'ai écrit un patch de singe pour ajouter ce support à Rails 2.1, à partir du patch pour Rails. 2.2.

Je n'ai testé que sur Rails 2.1, et votre kilométrage peut varier!

Answer 2

Eh bien, comme vous l'avez noté, il n'est pas pris en charge, mais vous pouvez bien sûr monkey-patch Rails pour faire ce que vous voulez. En fait, dans ce cas, la différence entre appliquer une correction directement à votre Rails et à la correction par un singe est très minime, car l'une ou l'autre serait supprimée / annulée lors de la mise à niveau vers la version 2.2.

Dans les deux cas, vous utiliseriez ce diff appliqué pour guider vous-même le correctif 2.1 - soit en appliquant directement le correctif (modulo aucune différence 2.1 / bord), soit en rouvrant ces classes à partir de votre propre code après le chargement de l'environnement. appliquer les modifications.

Answer 3

Définissez l'option http_only sur true dans le hachage des options du cookie:

cookies['visits'] = { :value => '20', :http_only => true }