如何使用 Ruby on Rails 构建安全且高效的 RESTful API：最佳技巧、实践与安全指南

您是否想知道您最喜欢的应用程序如何相互通信？您的 Ruby on Rails API 是否足够安全？从预订航班到查看天气，我们日常使用的服务背后，API扮演着隐形连接器的角色，让我们能够不断地（直接或间接）与各种应用程序进行交互。在当今世界，数字安全已不再是一种选择，确保 API 的稳健性至关重要。

考虑到应用程序通信的规模和必要性，我们将研究使用 Ruby on Rails（最流行的 Web 框架之一）构建 RESTful API 的过程，探讨如何在 Ruby on Rails 上构建安全的 API，优先考虑用户数据的安全性。无论是与Ruby on Rails开发公司合作，还是与内部开发人员携手，无论您是经验丰富的编程老手，还是初涉编码的新人，深入了解这些实践都将对您大有裨益。我们将共同探索各种技术和最佳实践，帮助您构建强大且安全的 API。

什么是API？

API 代表应用程序编程接口。它定义了允许两个应用程序进行通信的规则。尽管互联网上存在许多不同形式的API定义，但它们都可以归结为以下两个核心要点：

API 支持不同软件应用程序之间的通信。
API 定义了此通信必须遵循的规则和协议。

API 如何工作？

以下是 API 通信过程的简化分解：

客户端应用程序向服务器发送请求。
请求被发送到特定 API 的 URL，由另一个应用程序（服务器）进一步处理。
服务器通常会将响应（包括所请求的数据资源）以结构化的格式，如JSON或XML，发送回最初发起请求的应用程序。

API是如何工作的 API通信流程可视化

来源：medium.com

API 类型解释

APIs各不相同；它们的形式取决于具体的使用方式和可访问它们的用户群体。值得特别关注的是以下几种API：Public API、Private APIs、Partner APIs以及Composite APIs。

Public API：

它们向公众开放，可供公众使用并与其应用程序集成。
Google 地图、Facebook 和 Twitter 是众所周知的Public API。

Private APIs:

它们主要是在组织内部开发的，用于内部目的，并不对外托管或公开提供。

Partner APIs:

它们通过这些 API（例如，代理机构的旅行预订 API）进行集成，可供外部合作伙伴使用。

Composite APIs:

与其他 API 不同，这种类型的 API 不是由其受众定义的。其独特之处在于它能够同时接受多个 API 请求、执行所有请求并返回单个响应。

基本API协议

API是基于特定协议构建的，这些协议规定了数据如何在不同系统之间进行传输。每个协议都有优点，具体取决于应用程序的需求。

REST

REST 更像是一种架构风格，其中数据和功能被视为资源并使用 URI 进行访问。资源与它们的表示形式相分离，这意味着客户端可以根据需要访问不同格式的内容，如HTML、XML、纯文本、PDF、JPEG、JSON等。HTTP/S 是与 REST 配合使用时最常用的互联网协议。该“协议”以其简单、轻量级和速度而闻名，使其成为 Ruby on Rails 开发服务的首选。

RESTful API 的关键组件和原理

HTTP 方法：使用标准方法（GET、POST、PUT、DELETE）进行操作。
端点：指定在服务器上何处查找资源的特定 URL。
标头：包含身份验证令牌、内容类型和状态代码等元数据。
正文：请求或响应的主要内容，通常采用 JSON、HTML 或 XML 等格式。

REST 有其局限性。要使服务被视为 RESTful，它必须满足某些指导原则：

基于资源：API 是围绕代表数据单元的资源而设计的。每个资源都有一个唯一的标识符 (URI)，并且可以使用标准 HTTP 方法进行操作。
客户端-服务器架构： API接口保留在客户端UI上，与服务器上存储的数据分开。
无状态性：通过API发出的每个请求都是独立的，并且自带处理该请求所需的全部信息。这些请求是彼此独立进行的。
缓存能力： REST API 响应可以检索缓存数据，但您必须指定是否可以缓存响应。
分层：无论是直接与服务器交互，还是客户端和服务器之间存在其他层（例如负载平衡或代理服务），API 的工作方式都是相同的。

SOAP

SOAP使用XML格式进行通信，并因其安全性和可靠性而在企业应用程序中广受欢迎。它通常用于大型企业应用程序，支持 HTTP、TCP 和 SMTP 等一系列协议，使其更加通用，但也比 REST 更复杂。

SOAP 的关键组件

信封：将 XML 文档标识为 SOAP 消息。
标头：包含身份验证或路由信息等元数据的可选部分。
正文：包含正在交换的实际消息或数据。
故障：用于报告问题的错误处理元素。

GraphQL

GraphQL是一种现代的API查询语言，同时也是一个用于基于现有数据执行这些查询的运行时环境。它使客户端能够仅请求他们需要的特定数据，从而减少过度获取和获取不足的问题。 GraphQL 可实现灵活、精确且高效的数据检索，非常适合移动应用程序或仪表板。

GraphQL 关键组件：

架构：定义 API 中的类型、查询和变更。它充当客户端和服务器之间的合同，指定客户端如何访问数据。
查询：用于从服务器读取数据。客户端可以指定响应的形状和结构，仅请求他们需要的字段。
突变：用于修改服务器上的数据。与查询类似，它们会更改状态并返回更新的数据。
解析器：通过从服务器或数据库获取适当的数据来解析查询或突变的函数。

gRPC

GRPC 是一个开源框架，使用 HTTP/2 进行传输，使用协议缓冲区 (protobuf) 作为接口描述语言。它实现了服务间的高效通信。gRPC以其卓越的性能和低延迟特性而著称，并支持双向流通信。

gRPC 关键组件：

Protocol Buffers (Protobuf)：一种用于序列化结构化数据以定义服务接口和消息类型的机制，它与具体的编程语言无关。
服务定义：它使用 Protobuf 语法定义 RPC 方法及其输入和输出消息类型。它充当客户端和服务器之间的合同。
存根：为客户端和服务器之间的通信提供标准化的方式，确保双方都理解服务契约。
通道：提供与指定主机和端口上的 gRPC 服务器的连接。
方法类型：支持一元（单个请求/响应）、服务器流（单个请求/多个响应）、客户端流（多个请求/单个响应）和双向流。

基本API协议比较

图片来源：medium.com

为什么使用 Ruby on Rails 进行 RESTful API 开发？

Ruby on Rails 开发人员发现 Rails 是构建 RESTful API 的绝佳选择，因为它内置了对 REST 架构的支持。以下是在 API 项目中使用 Ruby on Rails 开发服务的一些主要优势：

RESTful 设计

Rails 是围绕 REST 架构设计的，这是 API 最常见的模式。它为路由、处理 HTTP 请求以及以结构化、符合 REST 的方式响应提供内置支持。Rails能够轻松地将HTTP动词（如GET、POST、PUT、DELETE）映射到CRUD（创建、读取、更新、删除）操作上，这使得API的设计变得简单明了。

内置 JSON 支持

Rails 原生支持 JSON，这是 API 最常见的数据格式。Ruby on Rails服务内置了序列化器和响应呈现工具，确保您能够轻松地将数据格式化为JSON，并高效地将格式化后的数据发送给客户端。此外，如果需要，Rails 可以轻松处理各种内容类型（例如 XML）。

活动记录 (ORM)

Active Record 是Rails 的内置对象关系映射(ORM) 库。它允许 Ruby on Rails 开发人员使用 Ruby 对象与数据库交互，而不是编写原始 SQL。它简化了数据库交互、查询构建和迁移，使 Ruby on Rails 开发服务能够高效地管理 API 项目中的复杂数据库。

中间件堆栈（基于机架）

Rails API 构建在 Rack 之上，Rack 是 Web 服务器和 Ruby on Rails 应用程序之间的模块化接口。它可以轻松添加自定义中间件或利用现有中间件进行身份验证、缓存、速率限制或日志记录。这种高度的灵活性使得Rails成为构建从简单到复杂各类API的理想选择。

API模式（Rails API）

Rails 有一个专用的“API 模式”（`rails new my_api –api`），它去除了 Web 开发中不必要的组件（例如视图和帮助程序）并保持框架轻量级，仅专注于 API 相关功能。这使得应用程序更快。

为什么 API 安全很重要？

构建安全的API对于保护您的组织数据不被泄露、确保敏感信息安全以及合规遵守安全法规具有至关重要的作用。

随着Web和移动应用程序的日益普及，API安全性已成为开发人员最关心的问题。 Ruby on Rails 为开发 API 提供了强大且安全的环境，并具有有助于降低常见安全风险的内置功能和库。通过遵循最佳实践并采取有效的安全措施，我们能够确保我们的API免受潜在攻击和漏洞的威胁。

设置 Ruby on Rails API 的分步指南

创建一个新的仅限 Rails API 的应用程序

首先在 API 模式下创建一个新的 Rails 应用程序：

`$ rails new my_api --api`

生成资源

让我们创建一个名为Post资源的简单资源，其中包含标题和内容字段：

`$ rails generate model Post title:string content:text`

现在，请运行迁移操作以在数据库中为posts创建一个表：

`$ rails db:migrate`

为您的控制器创建版本目录

我们可以在命名空间下组织控制器，例如创建更加结构化和版本化的 API。将控制器组织到版本化的目录中是一种最佳实践，这样做可以方便地管理未来的更新，同时确保不会破坏现有的兼容性。

创建目录结构和控制器：

`$ mkdir -p app/controllers/api/v1`

使用rails generate controller命令为我们的资源生成一个控制器：

`$ rails g controller api/v1/posts`

在 app/controllers/api/v1/posts_controller.rb中，定义控制器：

```

module Api

  module V1

    class PostsController < ApplicationController

      before_action :set_post, only: [:show, :update, :destroy]



      # GET /api/v1/posts

      def index

        @posts = Post.all

        render json: @posts

      end



      # GET /api/v1/posts/:id

      def show

        render json: @post

      end



      # POST /api/v1/posts

      def create

        @post = Post.new(post_params)

        if @post.save

          render json: @post, status: :created

        else

          render json: @post.errors, status: :unprocessable_entity

        end

      end



      # PUT /api/v1/posts/:id

      def update

        if @post.update(post_params)

          render json: @post

        else

          render json: @post.errors, status: :unprocessable_entity

        end

      end



      # DELETE /api/v1/posts/:id

      def destroy

        @post.destroy

        head :no_content

      end



      private



      def set_post

        @post = Post.find(params[:id])

      end



      def post_params

        params.require(:post).permit(:title, :content)

      end

    end

  end

end

```

更新命名空间的路由

要将 API 请求路由到命名空间控制器，请修改以config/routes.rbapi/v1添加命名空间

```

Rails.application.routes.draw do

  namespace :api do

    namespace :v1 do

      resources :posts

    end

  end

end

```

干得好！您已经成功地设置了一个简单的Rails API，用于处理Post资源上的基本CRUD（创建、读取、更新、删除）操作。根据您的需求，您可以通过添加身份验证、验证、错误处理、分页等来进一步扩展。

如何开始使用 Ruby on Rails 构建一个安全的API？

设置您的 Rails 应用程序

让我们首先创建一个新的 Ruby on Rails 应用程序。打开终端并运行以下命令：

rails new secure_api

此命令创建一个名为“ secure_api ”的新 Rails 应用程序。

创建 API 端点

我们将创建一个带有单个端点的简单 API 来管理“todos”。让我们为“Todo”资源生成一个脚手架（scaffold）。

rails generate scaffold Todo title:string completed:boolean

此命令生成“Todo”资源的控制器、模型和视图。我们不会在 API 中使用视图，但 Rails 默认会创建它们。

配置路由

接下来，打开config/routes.rb文件并配置 API 的路由：

# config/routes.rb



Rails.application.routes.draw do

  namespace :api, defaults: { format: :json } do

    namespace :v1 do

      resources :todos

    end

  end

end

此配置在/api/v1命名空间下设置了API端点。

实施基本身份验证

身份验证可确保只有授权用户才能访问您的 API。在此示例中，我们将使用 Devise gem 进行用户身份验证。

首先，将 Devise 添加到 Gemfile 中并运行：

gem 'devise'

现在，安装 Devise 并生成 User 模型：

rails generate devise:install

rails generate devise User

实施基本授权

授权定义用户可以在您的 API 中执行哪些操作。我们将使用 CanCanCan gem 进行基于角色的授权。

将 CanCanCan 添加到您的 Gemfile 并运行bundle install：

gem 'cancancan'

创建用于生成授权规则的能力模型：

rails generate cancan:ability

在ability.rb文件中定义角色和授权规则：

# app/models/ability.rb



class Ability

  include CanCan::Ability



  def initialize(user)

    user ||= User.new



    if user.admin?

      can :manage, :all

    else

      can :read, Todo

      can :create, Todo

      can :update, Todo, user_id: user.id

      can :destroy, Todo, user_id: user.id

    end

  end

end

验证和清理输入

输入验证和清理对于安全性至关重要。FastAPI是一个因其特性而闻名的Python框架，但在Rails中，我们则采用标准的Rails验证方法。让我们验证我们的Todo模型。

打开app/models/todo.rb文件并添加验证规则：

# app/models/todo.rb



class Todo < ApplicationRecord

  validates :title, presence: true

  validates :completed, inclusion: { in: [true, false] }

end

测试您的安全 API

既然我们已经构建了一个具备身份验证、授权以及输入验证功能的安全Ruby on Rails API，接下来就该对其进行测试了。

启动你的 Rails 服务器：

rails server

您可以使用Postman curl 等工具来测试您的 API 端点。例如，要创建一个新的待办事项：

curl -X POST -H "Content-Type: application/json" -d '{"title": "Buy groceries", "completed": false}' http://localhost:3000/api/v1/todos

确保测试不同的场景，包括身份验证、授权和输入验证，以确保您的 API 安全且按预期运行。

在 Ruby on Rails 中实现身份验证

身份验证是在 Ruby on Rails 中构建安全 API 的一个重要方面。它允许用户验证自己的身份并授予他们对受保护资源的访问权限。借助 Rails，可以使用Devise或Sorcery等 gem 轻松实现身份验证。

这些gem提供了预构建的身份验证功能，为我们节省了大量的时间和精力。接下来，我们来看一个使用Devise来验证用户身份的示例。首先，我们需要安装 Devise gem，将其添加到 Gemfile 中并运行捆绑安装命令。

# Gemfile

# Add Devise gem to your Rails application

gem 'devise'



# Terminal

# Run bundle install to install the gem

bundle install

现在，让我们创建一个用户模型并使用 Devise 设置身份验证：

# Generate a User model with Devise

rails generate devise User



# Run the database migration

rails db:migrate

接下来，您可以说明如何使用 Devise 通过身份验证来保护您的 API 端点。在控制器中，您可以使用before_action过滤器来确保只有经过身份验证的用户才能访问特定资源：

# app/controllers/api/v1/posts_controller.rb

class Api::V1::PostsController < ApplicationController

  before_action :authenticate_user!



  def index

    posts = Post.all

    render json: posts

  end



  def create

    # Create a new post

  end



  # Other actions...



end

要向特定模型（例如用户）添加身份验证，我们可以运行railsgenerate devise MODEL_NAME命令。最后，我们需要通过将以下行添加到我们的config/routes.rb文件中来配置路由来处理身份验证路径devise_for: users：就是这样简单！仅仅通过几个步骤，我们就成功地在Ruby on Rails API中利用Devise实现了身份验证功能。

基于令牌的身份验证

为了确保只有授权用户才能访问某些资源，您可以使用基于令牌的身份验证，用户在成功登录后会收到一个令牌，然后将该令牌用于后续的 API 请求。

要实现此目的，请将以下 gem 添加到 gemfile 并运行bundle install：

# Gemfile

gem 'devise_token_auth'

配置 Devise 以进行基于令牌的身份验证：

# config/initializers/devise_token_auth.rb



Devise.setup do |config|

  config.secret_key = 'your_secret_key' # Replace with a secure secret key

end

创建具有令牌身份验证的用户模型：

generate devise_token_auth:install User auth

迁移数据库：

rails db:migrate

使用身份验证保护您的 API 路由before_action：

# app/controllers/api/v1/base_controller.rb



module Api

  module V1

    class BaseController < ApplicationController

      before_action :authenticate_user!



      # Your API actions go here

    end

  end

end

使用 Tiddle 进行多令牌身份验证

安装Tiddle开始，将 Tiddle 添加到您的 Gemfile 并运行bundle install：

# Gemfile

gem 'tiddle'

配置Tiddle的下一步是通过创建一个初始化程序来进行。请运行以下命令以生成初始化程序文件：

rails generate tiddle:install

这将生成一个名为config/initializers/tiddle.rb的文件。请打开此文件，并根据您的具体需求进行相应的配置。您可以设置令牌过期时间和用户模型名称等选项。例如：

Tiddle.configure do |config|

  config.token_lifetime = 1.week

  config.user_identifier = :email

end

更新用户模型 Tiddle 要求您的用户模型具有一些特定的方法。在您的用户模型（例如，app/models/user.rb）中，包含该Tiddle::TokenIssuer模块并定义所需的方法：

class User < ApplicationRecord

  include Tiddle::TokenIssuer



  # Define the following methods:

  def self.find_by_token(token)

    # Implement logic to find a user by token

  end



  def self.build_from_token(token)

    # Implement logic to build a user from a token

  end

end

现在，让我们在您的API控制器中实现身份验证功能。以下是如何保护特定端点的示例：

class ApiController < ApplicationController

  before_action :authenticate_user!



  def secure_endpoint

    # Your secure endpoint logic goes here

  end

end

为了生成和验证用于身份验证的令牌，您可以在登录操作中使用Tiddle的create_and_return_token方法，并在用户注销时使用Tiddle.expire_token方法。以下是登录操作的示例：

class SessionsController < ApplicationController

  def create

    user = User.find_by(email: params[:email])

    

    if user&.authenticate(params[:password])

      token = Tiddle.create_and_return_token(user, request)

      render json: { auth_token: token }

    else

      render json: { error: 'Invalid credentials' }, status: :unauthorized

    end

  end



  def destroy

    Tiddle.expire_token(current_user, request)

    head :no_content

  end

end

最后，测试您的 API 以确保一切按预期工作。您应该能够使用生成的令牌对用户进行身份验证并保护您的 API 端点。

处理权限和授权

为了确保只有经过授权的用户才能访问API的特定部分，对权限和授权进行有效处理是至关重要的。在 Ruby on Rails 中，一种流行的方法是使用名为“ CanCanCan ”的 gem 。这个 gem 允许您定义应用程序中每个用户角色的能力和权限。通过设置能力，您可以轻松控制每个用户可以对不同资源执行哪些操作。例如，您可以定义只有管理员才能删除记录，而普通用户只能查看或编辑记录。您可以通过创建一个能力文件来实现这一点，在该文件中使用简单的代码片段定义每个角色的能力。

以下是您将如何实现它：

将 CanCanCan gem 添加到您的 Gemfile 中并运行bundle install以安装它：

# Gemfile

gem 'cancancan'

在 Rails 应用程序中生成 User 模型和 Post 模型（或您想要保护的任何资源）：

rails generate model User name:string role:string

rails generate model Post title:string content:text user:references

rails db:migrate

使用“cancancan”在能力模型中定义用户角色和能力。ability.rb在目录中创建文件app/models：

# app/models/ability.rb

class Ability

  include CanCan::Ability



  def initialize(user)

    user ||= User.new # Guest user (not logged in)



    if user.admin?

      can :manage, :all # Admins can manage all resources

    else

      can :read, Post # Regular users can read posts

      can :create, Post # Regular users can create posts

      can :update, Post, user_id: user.id # Regular users can update their own posts

    end

  end

end

在您的控制器中，使用 CanCanCan 根据用户角色授权操作：

# app/controllers/api/v1/posts_controller.rb

class Api::V1::PostsController < ApplicationController

  load_and_authorize_resource # Loads the Post resource and authorizes actions



  def index

    render json: @posts

  end



  def create

    # Create a new post

    if @post.save

      render json: @post, status: :created

    else

      render json: @post.errors, status: :unprocessable_entity

    end

  end



  def update

    # Update an existing post

    if @post.update(post_params)

      render json: @post

    else

      render json: @post.errors, status: :unprocessable_entity

    end

  end



  # Other actions...



  private



  def post_params

    params.require(:post).permit(:title, :content)

  end

end

保护敏感数据

加密敏感数据

为了在 Ruby on Rails 中构建安全的 API，保护敏感数据至关重要。实现这一目标的一种方法是实施适当的身份验证和授权机制。通过要求用户在访问某些数据或执行特定操作前进行身份验证，我们能够确保只有获得授权的个人才能访问敏感信息。这可以通过使用像前面提到的Devise这样的工具来实现，它提供了一个简单而灵活的身份验证解决方案。此外，使用bcrypt等安全哈希算法对密码等敏感数据进行加密也很重要。以纯文本形式存储密码是一个很大的禁忌，因为这会使密码容易被盗窃和滥用。通过对密码进行哈希处理，我们可以确保即使攻击者获取了对存储数据的访问权限，他们也无法逆向工程出原始密码。以下是如何使用bcrypt安全存储和验证密码的示例：

# Gemfile

gem 'bcrypt'



# app/models/user.rb

class User < ApplicationRecord

  has_secure_password

end



# app/controllers/sessions_controller.rb

class SessionsController < ApplicationController

  def create

    user = User.find_by(email: params[:email])

    if user&.authenticate(params[:password])

      # Successful authentication

    else

      # Invalid credentials

    end

  end

end

通过实施这些措施，我们可以更好地保护 Ruby on Rails API 中的敏感数据，并确保只有授权用户才能访问它。

防止 API 滥用和攻击

在 Ruby on Rails 中构建安全 API 的一个重要方面是采取措施防止潜在的滥用和攻击。实现此目的的一种常见方法是实施速率限制。通过对用户或IP地址在特定时间范围内所能发出的请求数量进行限制，我们可以有效地降低遭受暴力破解攻击或因流量过大而导致服务器崩溃的风险。下面的代码片段演示了如何使用“ rack-attack ”gem在 Ruby on Rails 中实现速率限制：

# config/initializers/rack_attack.rb



Rack::Attack.throttle('requests per IP', limit: 100, period: 1.minute) do |request|

  request.ip

end

在上面的示例中，我们定义了名为“每个 IP 的请求数”的限制规则。它将 IP 地址可以发出的请求数量限制为每分钟 100 个请求。这个简单的措施可以防止个人 IP 地址的潜在滥用，从而帮助保护我们的 API。

使用最小权限 CORS 策略保护您的生产环境

在将Web应用程序部署到生产环境时，跨源资源共享（CORS）是一个需要重点考虑的安全功能，它决定了哪些域可以访问您的应用程序资源。建立遵循最小特权原则的 CORS 策略对于最大限度地减少潜在的安全风险至关重要。幸运的是，rack-corsRuby on Rails 中的 gem 提供了一个强大的工具来帮助您实现这一目标。

在本节中，我们将讨论如何使用 gem 在 Ruby on Rails 应用程序的生产环境中设置 CORS 策略rack-cors。我们将强调最小权限原则，以确保您的应用程序的安全。

什么是最小特权原则？

最小权限原则是一个基本的安全概念，它将用户和应用程序的访问权限限制为执行其任务所需的最小权限。在CORS的语境下，这意味着我们应当仅允许特定的、必要的域来访问您的资源，同时阻止所有其他来源的访问。

设置 CORS 策略

以下是使用 gem 建立遵循最小权限原则的 CORS 策略的步骤：

安装 rack-cors

首先，您需要在Rails项目的Gemfile文件中添加rack-cors gem，并运行bundle install命令来安装它：

gem 'rack-cors'

配置 CORS

在 Rails 应用程序中，您可以在config/application.rb文件中定义 CORS 策略。打开此文件并找到该Rails.application.configure do块。添加以下配置以设置基本 CORS 策略：

config.middleware.insert_before 0, Rack::Cors do

  allow do

    origins 'https://your-allowed-domain.com' # Replace with your production domain

    resource '*', headers: :any, methods: [:get, :post, :put, :patch, :delete]

  end

end

在此示例中，我们指定仅允许来自“https://your-allowed-domain.com”的请求。所有其他来源均被拒绝访问。同时，我们还明确指定了允许哪些HTTP方法（如GET、POST、PUT、PATCH、DELETE），并且允许携带任何请求头信息。

定制您的政策

上面的示例提供了基本的 CORS 策略。根据应用程序的要求，您可以通过添加更多源、方法或标头来进一步自定义它，以匹配您的特定用例。

测试您的 CORS 策略

在部署到生产之前，必须在不同环境中彻底测试 CORS 策略，以确保其行为符合预期。确保您的应用程序仅对来自允许来源的请求作出响应，并拒绝来自未经授权域的访问请求。

清理用户输入

另一个至关重要的做法是验证用户输入，并对任何用户提供的数据进行清理，以此来防范SQL注入、跨站点脚本（XSS）等恶意攻击。Ruby on Rails 提供了用于输入验证和过滤的内置机制，因此请确保正确使用它。

为此，请使用 Rails 的内置验证方法进行输入验证。

# app/models/user.rb



class User < ApplicationRecord

  validates :email, presence: true, uniqueness: true, format: { with: /\A[\w+\-.]+@[a-z\d\-.]+\.[a-z]+\z/i }

  validates :password, presence: true, length: { minimum: 8 }



  # Add any other validations as needed

end

要清理用户提供的数据，可以使用sanitize方法或sanitize_sql方法来防止 SQL 注入：

# app/controllers/api/v1/users_controller.rb



module Api

  module V1

    class UsersController < BaseController

      def create

        # Sanitize user input

        safe_name = ActiveRecord::Base.sanitize(params[:name])



        # Your code here

      end

    end

  end

end

此外，建议对所有 API 通信使用 HTTPS，以保护敏感数据并防止窃听。通过遵循这些最佳实践并及时了解最新的安全补丁，您可以在 Ruby on Rails 中构建安全可靠的 API。

结论

API 对于实现应用程序之间的数据交换至关重要，它们有多种形式，包括公共、私有、合作伙伴和复合 API。在众多的可用协议中，REST凭借其简单性、灵活性以及可扩展性而显得尤为突出，因此成为了构建API的热门选择。Ruby on Rails非常适合用于创建RESTful API，因为它本身就是基于REST原则构建的，并且为处理常见的API任务提供了强大的内置支持。

通过实施最佳实践，例如对敏感数据使用环境变量以及应用最小权限原则，您可以显着降低漏洞风险。

Ruby on Rails 为构建安全高效、可扩展且易于维护的 API 提供了强大、灵活的基础。无论您是与Ruby on Rails的专业公司合作，还是与小型开发团队携手，对于旨在打造高质量API服务的开发者而言，Ruby on Rails都是一个极为出色的选择。

原文链接：https://escape.tech/blog/ruby-on-rails-security-guide/