私の Rails アプリでは、ユーザーがカスタムの「テーマ」を送信して、さまざまな方法でデータを表示できるようにしたいと考えています。
API 呼び出しを使用してビュー内のデータを取得できると思います。そのための認証メカニズムを作成できます。また、データを保存するための認証済み API。だから、これはおそらく安全です。
しかし、ユーザーがテーマの独自のコードをアップロード/送信できるようにする最善の方法に苦労しています。
これは、人々がアップロードできるWordpressのテーマ/プラグインのように機能することを望んでいます. しかし、いくつかのセキュリティリスクがあります。たとえば、ユーザーが送信したアップロードされた「テーマ」を取得して、Rails アプリ内のどこかにある独自のディレクトリに配置した場合、これにはどのようなリスクがありますか?
ユーザーが自分のテーマにレール実行可能コードを挿入すると、その時点ですべてのモデル、全員のデータなどに完全にアクセスできるビューであっても、他のユーザーからでも。だから、それは良くありません。
アップロードされたテーマを Rails アプリのサンドボックスに存在させる方法が必要ですが、これを行う良い方法は見当たりません。何か案は？