Лучший способ начать сеанс динамически с URL

Я нашел два возможных решения этой проблемы.

Вариант 1: отправка пользовательских заголовков в запрос AJAX

Идея этого заключается в том, чтобы настроить собственный HTTP-заголовок, который будет отправлен с фактическим запросом AJAX, который затем будет проверяться в контроллере. Это означает, что люди не могут успешно взаимодействовать с маршрутом /sessions-manager вручную в своей строке URL веб-браузера. Пользовательские заголовки можно легко установить с помощью jQuery:

$("#startSession").click(function() {
  $.ajax({
    url: "/sessions-manager?add=showpassword",
    beforeSend: function(xhr){xhr.setRequestHeader('foo', 'bar');}
  });
});

И теперь просто проверьте, что ваш пользовательский заголовок присутствует в контроллере:

get "/sessions-manager" do
  if env["foo"] == "bar"
    // Add session
  else
    halt 401 // Authentication required error
  end
end

Замечание об этом подходе: хотя это, безусловно, эффективный метод защиты маршрута /sessions-manager, он все равно может быть скомпрометирован. Люди, которые знают, что делают, могут подделывать заголовки HTTP с помощью инструментов разработчика, поэтому вариант 2 может быть для вас. Тем не менее, это по-прежнему хорошая стратегия для реализации в качестве дополнительного уровня защиты, просто знайте ее пределы.

Вариант 2 (предпочтительный): несколько уровней сеанса

Более эффективное решение, которое было доведено до моего сведения вдохновителем Биткойна Сэмом Фоли, заключается в ограничении объема сеанса, который может быть создан с помощью URL /sessions-manager адреса /sessions-manager session /sessions-manager. Это может быть достигнуто довольно просто, добавив еще один уровень в сеанс, который вы хотите создать, то есть - предоставить родительскому дочернему соединению session. Проверьте это:

get "/sessions-manager" do
  session[:userprefs] ||= {} // Set parent session as empty hash
  name = params[:add].to_sym
  session[:userprefs][:name] = true
end

Намного лучше. Теперь мы можем получить доступ к этой сессии в любом месте нашего приложения (представления или контроллер):

if session[:userprefs][:showpassword] 
  "Password is blah"
end 

Более того, люди не могут подделывать существующие сеансы. Например, кто-то пытается подделать сеанс пользователя, теперь создаст сеанс с именем [:userprefs][:user] который фактически бесполезен.