一个buffalo的安全问题。

就是Buffalo的安全
目前有个项目采用buffalo框架,公司最近使用西门子web安全分析系统及Webinspect进行扫描及手工分析后发现,通过url/BUFFALO?sid=confunphone居然可以查看出Web服务器最顶层的几个目录或文件，还有服务器的etc/passwd文件。跨站脚本漏洞(XSS)比较严重()。。。。。我都只采用最简单的写法，当然是偶应用了不好，不知谁对这个ajax安全有没有好一点的解决方案。