[ruby-dev:47318] Re: cgiのセッションに使うファイル名の改良

From: "NARUSE, Yui" <naruse@...>
Date: 2013-05-03 13:10:10 UTC
List: ruby-dev #47318
(2013/05/03 21:19), fujioka wrote:
> xibbarこと藤岡です。
> 
> http://bugs.ruby-lang.org/issues/1767
> というずっと昔のチケットなのですが、
> fixしたいと思っています。
> MD5が弱いからもっと強いのを使えと言われているのですが、
> これは何を使えばいいでしょうかね。
> それと、長さは16文字でいいのかどうかも
> サジ加減がわからないので、
> 詳しい人おしえて欲しいです。

そもそもこれMD5かませる必要あるんですかね?
session_idをそのままファイル名に使えばいいと思うんですが。

また、今session_idは長い文字列でもそのまま使ってしまっているので、
CGI::Session#initializeに/\A\h{16}\z/以外が来た場合は例外にする処理をいれるといいんじゃないかな。
(こうすると、衝突も狙いにくくなる)

-- 
NARUSE, Yui  <naruse@airemix.jp>

In This Thread