Передача маркера безопасно от одного метода контроллера к другому

Question

Я хочу создать случайный токен для моего пользователя. По причинам UX я хочу сгенерировать этот токен в MyController#new, чтобы показать его в new. Затем мне нужно передать его методу create. Однако я хочу, чтобы пользователь не менял его.

Я знаю 3 способа сделать это:

1. передать его как скрытое поле
2. проходит через сессии
3. записи его в базу данных, помечается как неполные, а затем установить его завершить в create method

Первые два подхода не являются безопасными, а последний - излишним.

Есть ли способ безопасно передать параметр от new до create метод в контроллере?

Answer 1

Сессии в Rails и # и выше очень надежны, потому что они хэшированы. Официальная библиотека говорит, что практически никаких доказательств хэша сеанса не было, поэтому пользователь может удалить этот токен только из браузера, но они не могут изменить его на логически правильное значение.

Что вы можете сделать, это сохранить значение в сеансах и сделать хэш-значение самостоятельно из этого токена и сохранить его также в сеансе, а затем на принимающей стороне вы можете регенерировать хэш из сеанса и проверить значение.

Пользователь не может редактировать оба значения сеанса, которые они соответствуют. Если это не соответствует, вы можете отбросить значения и выбросить на страницу с ошибкой.

Надеюсь, я ответил вам, если есть какие-либо недоразумения.