класс ActionDispatch::HostAuthorization

Родитель:: Object

Этот мидлвар защищает от атак DNS-переназначения, явно разрешая хосты, к которым может быть отправлен запрос, и получает опции, установленные в config.host_authorization.

Запросы могут отказаться от авторизации хостов с помощью exclude:

config.host_authorization = { exclude: ->(request) { request.path =~ /healthcheck/ } }

Когда запрос поступает на неавторизованный хост, будет выполнено и отображено приложение response_app. Если приложение не указано, будет выполнено стандартное. Стандартное приложение записывает информацию о заблокированном хосте в журнал с уровнем 'error' и отвечает с 403 Forbidden. Тело ответа содержит отладочную информацию, если config.consider_all_requests_local установлено в значение true, в противном случае тело пустое.

Константы

ALLOWED_HOSTS_IN_DEVELOPMENT

Публичные методы класса

new(app, hosts, exclude: nil, response_app: nil) Показать исходный код

# File actionpack/lib/action_dispatch/middleware/host_authorization.rb, line 122
def initialize(app, hosts, exclude: nil, response_app: nil)
  @app = app
  @permissions = Permissions.new(hosts)
  @exclude = exclude

  @response_app = response_app || DefaultResponseApp.new
end

Публичные методы экземпляра

call(env) Показать исходный код

# File actionpack/lib/action_dispatch/middleware/host_authorization.rb, line 130
def call(env)
  return @app.call(env) if @permissions.empty?

  request = Request.new(env)

  if authorized?(request) || excluded?(request)
    mark_as_authorized(request)
    @app.call(env)
  else
    @response_app.call(env)
  end
end