blogシタテルの技術やエンジニアの取り組みを紹介するテックブログです。投稿を表示しています。投稿を表示しています。2018どうもこんにちはシタテルでエンジニアをしている朝野です。セキュリティーや開発インフラを担当しています。Railsを使っているプロダクトがいくつかあるのですが、そこでのセキュリティ施策の1つとしてBrakemanというGemを使っています。セキュリティチェック用のGemとしては有名どころですが、理解の確認も兼ねてまとめてみました。BrakemanとはRailsのソースコードを解析し、SQLインジェクションやXSS等の脆弱性になりかねない危険なコードを見つけ出すGemです。brakemanで実行でき、ソースコード内を確認してくれます。脆弱性が見つかった場合の終了コードを0以外にというオプションを使っています。CircleCIのためです。脆弱性が見つかった時ビルド失敗になり、開発中のブランチで脆弱性が見つかっていたらmergeできなくなるわけです。ちなみにその他オプションはこちら。毎回オプションを打つのも面倒なので、設定ファイルにまとめてしまうと便利です。-Cをつけて実行すれば、同時につけたオプションに相当する設定ファイルの内容が出力されます。保存しておけば自動でその設定が読み込まれるので、オプションをつけなくてよくなります。警告に対応しないときBrakemanを実行して出力された脆弱性を修正していくことになります。修正のしようがないときやそのままでも問題ないときというのもたまにあります。実行時のオプションの一つで、名指ししたメソッドは安全だからチェックしなくていいよ!とするものです。メソッド内はスキャンされません。無視する警告のリストです。?)というふうに見つかった脆弱性をどうするか聞いてきます。無視リストに入れられた警告は、以降出力されなくなります。このように不要な警告をスルーする手もちゃんとあるのがbrakemanのよくできているところですが、うっかり対象から外した部分に危険なコードを書き足してしまわないように注意しなければいけないですね。最初からセキュリティを意識してコーディングするのがまずは重要ですが、このようなチェックがあると安心がアップしますね。usシタテルのミッションはテクノロジーとイマジネーションで「ひと」と「衣服」の新しい未来をつくること。クラウドシステムを使うように服作りのリソースを誰でも好きなときに好きだだけ使えるプラットフォームを目指しています。(1)どうも朝野です。Storage移行記:バリデーション編こんにちはあさのです。Storageに移行したときの話を書こうと思います。Paperclipはファイルアップロード用のGemです。https://...SQLite3でWindow関数を試してみた!はじめまして、DevOpsチームの甲斐です。何かブログのネタはないかなーと思っていたところ、たまたま以下のニュースを発見しました。ECSに自動デプロイする(おまけで環境面の切り替えも)こんにちは、シタテルの茨木です。ECR/ECSにデプロイする為の設定例を紹介します。Nuxt.jsアプリ用に作ったものですが、言語やAPサーバが違っても共通の部分がほとんどです。