5、提升应用安全性与搜索性能：Postgres与Rails的实践

提升应用安全性与搜索性能：Postgres与Rails的实践

1. 登录系统安全加固

在应用开发中，登录系统的安全性至关重要。尽管借助Bootstrap和Devise，我们的注册和登录系统在外观和功能上表现良好，但仍存在安全隐患。之前我们使用Rails的验证机制来阻止非公司邮箱地址的用户注册，然而这种方式容易被绕过，比如通过Rails的API或直接数据库连接，甚至代码中的Bug也可能引入安全漏洞。

为了验证这一安全漏洞，我们可以创建一个新用户，退出登录，在数据库中更改该用户的邮箱，然后使用新邮箱和原密码重新登录。以下是一个可能存在安全风险的场景示例：新员工Sally入职时公司邮箱未设置好，工程师Bob用她的个人邮箱为其创建了用户。几个月后Sally离职，HR的Aaron停用了她的公司邮箱，却不知她使用的是个人邮箱登录，导致公司误以为已切断她的访问权限，但实际上并没有。

为了解决这个问题，我们可以利用Postgres的检查约束功能。检查约束允许我们对数据库字段设置任意约束，结合Postgres对正则表达式的支持，我们可以创建一个约束，要求邮箱字段的值必须匹配特定的正则表达式，从而防止非公司邮箱地址插入到表中。

具体操作步骤如下：
1. 创建一个新的迁移文件：

$ bundle exec rails g migration add-email-constraint-to-users

这将生成一个迁移文件 db/migrate/20160718143725_add_email_constraint_to_users.rb