Ruby on RailsのCookieにHttpOnlyフラグを設定するにはどうすればいいですか？

Question

ページProtecting Your Cookies: HttpOnlyは、なぜHttpOnly Cookieを作成するのが良いのかを説明しています。

Ruby on Railsでこのプロパティを設定するにはどうすればよいですか？

Answer 1

ハッシュの「http_only」オプションがクッキーを設定するために使用される設定し

例えば

cookies["user_name"] = { :value => "david", :httponly => true }

又は、レール2：

例えば

cookies["user_name"] = { :value => "david", :http_only => true }

Answer 2

http_onlyをtrueに設定すると、changelogに記載されています。

Answer 3

また、私は、Rails 2.2に含まれているパッチを書いています。このパッチはCookieStoreセッションがhttp_onlyにデフォルト設定されています。

残念ながら、セッションクッキーはデフォルトではまだ通常のクッキーです。

Answer 4

再ローリーの答え：

注オプションがいくつかの点で:httponly（ノーアンダースコア）に:http_onlyから改名されたこと。

アクションパック3.0.0では、Ruby on Rails 3では、すべて:http_onlyへの参照がなくなりました。

それは私をしばらく投げました。

Answer 5

この行（Rails 3以降）を含むconfig/session_store.rbというファイルがある場合は、すでに自動的に設定されています。 config/initializers/session_store.rb：

# Be sure to restart your server when you modify this file. 
Rails.application.config.session_store :cookie_store, key: "_my_application_session" 

はまた、レールを使用すると、以下のキーを設定することができます：

：期限が切れる - Timeオブジェクトとして、このクッキーの有効期限が切れる時時間を。

：secure - このCookieがHTTPSサーバーにのみ送信されるかどうか。デフォルトはfalseです。