Nenhuma opção secreta fornecida para Rack :: Session

110

Estou executando o Rails 3.2.3, Ruby 1.9 no Fedora 17. Recebo este aviso, quando executo rails s, e como faço para corrigir?

AVISO DE SEGURANÇA: Nenhuma opção secreta fornecida para Rack :: Session :: Cookie. Isso representa uma ameaça à segurança. É altamente recomendável que você forneça um segredo para evitar explorações que podem ser possíveis de cookies criados. Isso não será suportado em versões futuras do Rack, e versões futuras irão até mesmo invalidar seus cookies de usuário existentes.

ruby-on-rails ruby-on-rails-3.2

— bigdaveyl
fonte

1

Um valor está definido em config / initializers / secret_token.rb?

— Kashyap

Kashyap - sim, um valor foi definido.

— bigdaveyl

Recebi o mesmo aviso depois de atualizar o Rails 3.2.9 para 3.2.10

— AlexD

2

Na verdade, este aviso foi adicionado ao Rack 1.4.2, que foi lançado em rubygems.org ontem (6 de janeiro de 2013), mas o commit real foi feito em 18 de março de 2012.

— AlexD

Sim, hoje eu também recebi esse aviso

— Paritosh Piplewar

86

Este é um bug do Rails, pois a subclasse está violando o contrato de API da superclasse.

O aviso pode ser ignorado com segurança pelos usuários Rails.

( https://github.com/rack/rack/issues/485#issuecomment-11956708 , ênfase adicionada)

Confirmação na discussão do bug do Rails: https://github.com/rails/rails/issues/7372#issuecomment-11981397

— Austin Lin
fonte

4

Atualize suas gemas Rails, pois isso é portado para todas as gemas Rails suportadas. note @ henrik-n

— shadowbq

19

Lendo a discussão com base na resposta do tehgeekmeisters, este aviso está aparecendo porque o Rails está usando os cookies do Rack de uma maneira diferente da pretendida. Deve ser normal simplesmente ignorar este aviso por enquanto, até que haja um acordo final sobre como lidar com esse problema e uma correção.

— iltempo
fonte

17

Este problema foi contornado no recém-lançado Rails 3.2.11.

Log: https://github.com/rails/rails/commits/v3.2.11

Commit: https://github.com/rails/rails/commit/95fe9ef945a35f56fa1c3ef356aec4a3b868937c

— Henrik N
fonte

1

@Dreyfuzz Observe que 3.2.11 é posterior a 3.2.2 (já que é 11, não 1.1). Portanto, apenas atualizar o Rails pode resolver seu problema.

— Henrik N de

Sim, por algum motivo, fiquei pensando em notação decimal onde 3.2.2 é o mesmo que 3.2.20. Pensei que estava no limite por um minuto!

— Dreyfuzz de

16

rails 3.2.9 - ruby 1.9.3p125 (2012-02-16 revisão 34643) [i686-linux]

Olá a todos, o seguinte funcionou para mim, pode funcionar para você.

/usr/local/lib/ruby/gems/1.9.1/gems/actionpack-3.2.9/lib/action_dispatch/middleware/session/abstract_store.rb

module Compatibility
          def initialize(app, options = {})
            options[:key]     ||= '_session_id'
            #fixed warning - SECURITY WARNING: No secret option provided to Rack::Session::Cookie.
            options[:secret] ||= Rails.application.config.secret_token
            super
          end
    end

— nbit001
fonte

2

Esta é a resposta com o menor dos "votos positivos", mas a única resposta que realmente resolve o problema, sem fazer downgrade e com problemas de compatibilidade. Isso apenas apaga a mensagem irritante

— Aleks,

1

Em vez de corrigir o código do Rails. Acho melhor resolver isso no release. atualizar para 3.2.11 seria melhor do que modificar o código do Rails.

— allenhwkim

6

O downgrade para o rack 1.4.1 deve ser suficiente para resolver isso por enquanto. Há um problema aberto para isso e acabei de enviar uma solicitação pull que parece corrigi-lo para mim. Em qualquer caso, observe o problema e você poderá atualizar para o rack 1.4.2 depois que isso for corrigido.

Aparentemente, há uma discussão em andamento sobre como corrigir isso em outro problema . Você terá que fazer o downgrade para 1.4.1, ignorá-lo ou descobrir sua própria correção até que isso seja resolvido (e backported, se isso acontecer).

— heartpunk
fonte

5

Um problema foi aberto no Github https://github.com/rails/rails/issues/8789 . Parece que um bug envolvendo Rails 3.2.10 com Rack 1.4.2 está causando isso. IMO, ele pode ser ignorado com segurança até que o problema seja resolvido.

EDITAR : Esse problema foi resolvido no Rails 3.2.11.

— Abhra Basak
fonte

3

A atualização do rails para 3.2.13 pode resolver esta questão.

— leonyuan
fonte

Nenhuma opção secreta fornecida para Rack :: Session :: Cookie warning?