14、Rails 应用的安全与性能优化指南

Rails 应用的安全与性能优化指南

1. Rails 安全邮件列表

Rails 官方安全邮件列表是一个低流量、仅用于发布安全相关问题的列表。如果框架中发现任何漏洞，都会在此公布，并提供修复问题的相关信息。如果你有正在运行的 Rails 应用，订阅该列表是个不错的选择，这样你就能对出现的任何新问题迅速做出反应。列表信息可访问：http://groups.google.com/group/rubyonrails - security。

2. 网络应用安全原则

网络应用安全原则适用于所有网络应用，而非仅针对 Ajax 或 Rails 应用。实际上，Ajax 带来的新安全问题很少，它只是客户端 - 服务器通信的另一种方式，因此所有非 Ajax 安全原则同样适用于 Ajax 开发。网络安全的黄金法则“不要信任用户输入”贯穿了大部分安全问题，如 SQL 注入、跨站脚本攻击（XSS）、会话固定、作用域查询、如何避免在 URL 中暴露记录 ID、批量赋值的风险以及客户端表单验证的不足等。

3. Ajax 对性能的影响

Ajax 在应用性能方面是一把双刃剑。从用户体验的角度来看，Ajax 的主要优势是可以加速交互。以典型的“实时搜索”功能为例，在引入 Ajax 之前，你需要输入搜索查询、提交表单，然后等待结果页面返回。而使用实时搜索时，每次新的按键都会在后台触发一个 Ajax 请求，这样当你输入完查询内容时，结果已经呈现在眼前。

然而，现实往往并非如此简单。搜索通常是一项计算成本较高的操作，尤其是在对大型数据集进行全文搜索时。使用 Ajax 进行搜索会显著增加搜索操作的负载，例如，对于“Ruby on Rails”的搜索，原本只