ruby – 为什么在生产中使用Net :: HTTP的set_debug_output危险？

在Net :: HTTP库中有一个非常有用的方法,它能够调试HTTP请求.

以下是有关文件的说明：

set_debug_output(output)

WARNING This method causes serIoUs security hole. Never use this method in production code.

Set an output stream for debugging.

http://ruby-doc.org/stdlib/libdoc/net/http/rdoc/classes/Net/HTTP.html#M001371

这里提到什么安全漏洞？

解决方法

看看代码,没有其他安全漏洞,除了HTTP协议中的所有内容都传递给您提供的流.如果您不在意,并将输出放置在您不怀疑的地方,这可能会暴露您的应用程序的内部运作.

IMHO在文档中的陈述非常困难,并没有提供有关安全漏洞的良好解释.我认为这个评论应该读取一些这样的东西：

Be careful and sit on your hands
before you type,since setting a
debug_output will expose the complete
HTTP protocol (including possible
sensitive information) to the stream
that is passed in.

长篇小说：没有“隐藏”的安全漏洞.

原文地址：https://www.jb51.cc/ruby/271709.html