事情的起因:前段时间闲赋在家(这段时间也是……),想练练手。觉得JavaEye的子域名挺有意思,就想仿照做个博客,把子域名用进去。子域名插件用SubdomainFu。结果代码写好了,测试时发现问题了。
我要写一个before_filter方法,在进入控制器之前校验一下子域名。方法名叫check_subdomain,因为比较通用,放在application.rb中。
先看控制器application的代码
# RAILS_ROOT/app/controllers/application.rb
class ApplicationController < ActionController::Base
# 为了简洁,其他代码都删了,只留了关键部分
# 这个设置可以使session跨域,但只能是 anysubdomain.myblog.com
session :session_domain => "myblog.com"
include AuthenticatedSystem
before_filter :login_required
protected
# 对用户的后台管理页面,检查子域名必须和用户login相同,否则跳转到404页面
def check_subdomain
unless current_user && current_user.login == current_subdomain
render_404
return false
end
end
# 简陋的处理,返回404页面
def render_404
render :file => "#{RAILS_ROOT}/public/404.html", :status => 404
end
end
上面的check_subdomain方法要在个人的博客管理控制台相关的控制器中,作为before_filter使用。比如,在categories控制器中,它处理“分类管理”的功能。
# RAILS_ROOT/app/controllers/categories_controller.rb
class CategoriesController < ApplicationController
# 这里做一个校验
before_filter :check_subdomain
# 相信有博客的朋友都会熟悉这个url吧,这是“分类管理”
# GET /admin/categories
def index
@categories = current_user.categories.ordered
end
end
这个逻辑很简单,在进入“分类管理” 页面之前,做个校验,判断子域名和当前用户的login相同。校验通过后,根据当前用户,找到所有分类,然后显示页面。
好了,现在我想测试CategoriesController的index方法,这需要使用功能测试(Functional Test),代码如下:
# RAILS_ROOT/test/functional/categories_controller_test.rb
class CategoriesControllerTest < ActionController::TestCase
fixtures :users, :categories
def setup
# 假设当前用户为alex
@alex = users(:alex)
end
test "index" do
# 这里设置下session,以便通过登录校验
get :index, {}, :user_id => @alex.id
assert_response :success
assert_template "index"
end
end
本该显示index页面,但是因为check_subdomain,跳转到404页面去了
ruby -I test test/functional/categories_controller_test.rb -n test_index
...
Expected response to be a <:success>, but was <404>
错误原因在于使用get方法发起提交时,默认是没有子域名的,而且get方法中也没有办法设置url。找了很多地方,最后在一个国外帖子里发现了解决办法。就是用 request.host
来设置域名。
改进的测试代码如下:
# RAILS_ROOT/test/functional/categories_controller_test.rb
class CategoriesControllerTest < ActionController::TestCase
def setup
@alex = users(:alex)
# 利用Request对象的host属性来设定子域名,奇怪的是Rails API中没说明host是个属性,也没找到host=这个方法……
#
# 敏捷开发3rd居然没有说可以用@request,@controller之类的实例变量
# 如果哪位知道这方面的介绍,还请告之,谢谢。
@request.host = "#{@alex.login}.myblog.com"
end
# 测试是否可以正确获取子域名
test "subdomain" do
get :index
assert_equal @alex.login, @controller.send(:current_subdomain)
end
test "index" do
get :index, {}, :user_id => @alex.id
assert_response :success
assert_template "index"
end
end
改进后测试通过,一切正常。
另外,子域名的问题在集成测试(Integration Test)中也有,但集成测试中设置子域名是一件很简单的事情,代码如下:
class AddBlogTest < ActionController::IntegrationTest
fixtures :all
# 测试子域名
test "subdomain" do
# 第一种方法,指定host,host!方法是集成测试专有的方法,功能测试则没有提供
host! "alex.myblog.com"
get "/admin/blogs"
# 第二种方法,在url中加入子域名
# get "http://alex.myblog.com/admin/blogs"
assert_equal "alex", controller.send(:current_subdomain)
end
end
顺便补上Rspec版的controller测试代码,个人觉得Rspec换汤不换药,但写法倒是很舒服:
# RAILS_ROOT/spec/controllers/categories_controller_spec.rb
require 'spec_helper'
describe CategoriesController do
fixtures :users
before :each do
@alex = users(:alex)
# 和Rails的功能测试一样,只是Rspec中用request而非@request
request.host = "#{@alex.login}.myblog.com"
end
it "should tell you the subdomain" do
controller.send(:current_subdomain).should == @alex.login
end
end
参考资料
Testing subdomains as account keys
How to simulate a login into a specific subdomain
分享到:
相关推荐
子域名检测是网络安全领域中的一个重要环节,主要用于发现和管理组织或个人拥有的所有下级域名。这个过程可以揭示潜在的安全漏洞,确保网络基础设施的安全性,并帮助优化网站的SEO策略。以下是对子域名检测的详细...
子域名收集是网络安全领域中一个重要的环节,尤其是在渗透测试中,了解目标组织的网络结构是必要的。"Layer子域名挖掘机"是一款专为此目的设计的强大工具,它能够帮助用户找到目标网站可能存在的所有子域名,从而...
在子域名挖掘过程中,词典攻击是一种常见的方法,通过组合词典中的词汇与目标主域名来尝试生成可能的子域名。Layer工具可能使用这个文件作为基础,结合其他技术如DNS枚举、WHOIS查询等,来提高发现率。 ARSoft....
4. **查看结果**:扫描过程中,软件会实时显示发现的子域名,扫描结束后,可查看完整的子域名列表。 5. **结果分析**:对扫描结果进行深入分析,确认哪些子域名可能存在安全问题,并采取相应措施。 **四、安全注意...
子域名挖掘是网络安全和渗透测试中常见的步骤,主要用于发现目标网站未公开的子域名,这有助于识别潜在的安全漏洞或扩展组织的在线资产。 描述中的“仅供测试学习使用”提示我们这个工具是为了教育和研究目的而设计...
微信域名检测代码是一种用于检测特定域名在微信环境中是否能够正常访问的工具。微信作为一个封闭的社交平台,有时会出于安全或政策原因对某些外部链接进行拦截,这可能会导致用户无法在微信内直接打开这些链接。因此...
这类工具在网络安全、渗透测试和网站审计中具有重要应用,因为子域名通常承载着不同的服务和功能,可能隐藏着未公开的安全入口或者信息。了解一个组织的所有在线资产,包括子域名,对于全面评估其网络安全状况至关...
在网络安全中,了解一个组织或网站的完整域名结构对于漏洞评估、渗透测试和安全防护至关重要。Layer 子域名挖掘机就是这样一个强大的辅助工具。 在网络安全领域,子域名挖掘是一项关键任务,因为很多大型组织和企业...
在互联网安全领域,了解一个组织的所有在线资产是非常重要的,因为子域名可能包含未公开的服务、测试环境或其他敏感信息。这款软件通过高效地扫描DNS记录和利用词典攻击来发掘这些信息。 Layer是该软件的核心组件,...
在网络安全研究、渗透测试或漏洞排查中,子域名挖掘是一项至关重要的任务,因为子域名往往可能隐藏着未公开的安全入口或者潜在的脆弱性。 该工具的工作原理主要是通过大规模的数据抓取和智能分析,查找与主域名关联...
OneForAll是一款由Python编写的子域名收集工具,它可以帮助安全测试人员和渗透测试人员自动化地获取目标网站相关的子域名信息。OneForAll在设计时兼顾了准确性和速度,可以通过多种方式进行子域名的发现,例如DNS...
子域名挖掘是渗透测试中的关键环节,因为许多组织可能没有完全管理或更新其所有子域名,这可能导致某些子域名的安全措施不足。Layer子域名挖掘机通过爬虫技术,利用各种公开数据源(如DNS记录、证书 Transparency ...
子域名遍历查询是网络安全和渗透测试中的一个重要环节,它涉及到对互联网上网站结构的深入理解和探索。在本文中,我们将详细讨论这个主题,并提供一些关键知识点。 首先,理解“子域名”是至关重要的。子域名是主...
在子域名挖掘中,我们利用DNS查询来寻找与主域名关联的所有子域名。 2. **数据源**:有效的子域名挖掘需要多种数据源,包括但不限于WHOIS数据库、搜索引擎结果、公开的DNS记录、历史存档、社交媒体提及等。 3. **...
在子域名挖掘工具中,这个库可能包含了与DNS解析、网络通信或者IP地址处理相关的函数,以帮助工具高效地进行网络扫描和子域名查找。 Layer.exe 可能是主应用程序文件,它是子域名挖掘机5.0修正版的执行程序。该文件...
Layer子域名挖掘机4.2纪念版是一款专门用于子域名发现的工具,它旨在帮助网络安全研究人员、渗透测试人员以及网站管理员查找并枚举目标域名下的所有潜在子域名。在这个数字化时代,子域名挖掘对于全面理解组织的在线...
子域名挖掘工具是一种用于网络安全和渗透测试的重要软件,它能够帮助用户发现并收集目标网站的潜在子域名。在互联网安全领域,了解一个组织的网络架构是至关重要的,因为子域名可能隐藏着未公开的服务、应用或者漏洞...
JSFinder 是一款强大的工具,专为网络安全专家和渗透测试人员设计,用于在JavaScript(js)文件中高效地搜索和提取URL以及子域名信息。这款工具的出现极大地简化了在黑盒测试过程中对网站架构和潜在漏洞的分析工作。...
其中,"子域名拦截工具burpsuite插件"是专门为Burp Suite设计的一款扩展,专门用于拦截和分析网络流量中的子域名信息。 子域名拦截工具的主要作用在于帮助安全研究人员或渗透测试人员发现并收集目标网站的子域名。...
在本项目中,我们将探讨如何使用卷积神经网络(CNN)进行异常检测,特别是针对恶意域名的检测。这个教程是为初学者设计的,旨在帮助他们理解如何利用TensorFlow这一强大的深度学习框架来构建和训练CNN模型。我们将...