класс ActionDispatch::HostAuthorization

Родитель:: Object

Этот мидлварь защищает от атак перенаправления DNS, явно разрешая хосты, к которым может быть отправлен запрос, и принимает опции, установленные в config.host_authorization.

Запросы могут отказаться от авторизации хоста с помощью exclude:

config.host_authorization = { exclude: ->(request) { request.path =~ /healthcheck/ } }

Когда запрос поступает на неавторизованный хост, приложение response_app будет выполнено и отображено. Если не указано response_app, будет запущено приложение по умолчанию, которое отвечает кодом +403 Forbidden+.

Константы

DEFAULT_RESPONSE_APP

Публичные методы класса

new(app, hosts, deprecated_response_app = nil, exclude: nil, response_app: nil) Показать исходный код

# File actionpack/lib/action_dispatch/middleware/host_authorization.rb, line 74
    def initialize(app, hosts, deprecated_response_app = nil, exclude: nil, response_app: nil)
      @app = app
      @permissions = Permissions.new(hosts)
      @exclude = exclude

      unless deprecated_response_app.nil?
        ActiveSupport::Deprecation.warn(<<-MSG.squish)
          `action_dispatch.hosts_response_app` is deprecated and will be ignored in Rails 6.2.
          Use the Host Authorization `response_app` setting instead.
        MSG

        response_app ||= deprecated_response_app
      end

      @response_app = response_app || DEFAULT_RESPONSE_APP
    end

Публичные методы экземпляра

call(env) Показать исходный код

# File actionpack/lib/action_dispatch/middleware/host_authorization.rb, line 91
def call(env)
  return @app.call(env) if @permissions.empty?

  request = Request.new(env)

  if authorized?(request) || excluded?(request)
    mark_as_authorized(request)
    @app.call(env)
  else
    @response_app.call(env)
  end
end