1

私は、pyramid_beaker を使用するピラミッド アプリケーションを持っています。これが私の構成です：

# Options For Sessions and Caching:
session.type = file
session.data_dir = %(here)s/../../data/sessions/data
session.lock_dir = %(here)s/../../data/sessions/lock
# Session Options:
session.key = session_id
session.secure = false
session.timeout = 3600
session.cookie_expires = true
session.cookie_domain = .mydomain.local
session.httponly = true
# Encryption Options:
session.encrypt_key = c]?wvL",ni3J.)d8(e~z8b-9Le=Anh'.QMytBj^Kukfi<79C$Cg22)cX;__xs6?S
session.validate_key = \2R('?pL]\Z_8?(o`.?.?^.RF6t*5pCh6PH`~aon%H`PX$;E}"((mu-@(?G<=!:+
# pyramid_beaker specific option
session.cookie_on_exception = true

そして、ここにログインフォームビューがあります:

def login(self):

    message_html = _('view.login.welcome-message', default='Please log in.')
    login_url = self.request.route_url('login')
    login = ''
    password = ''
    referrer = self.request.url
    if referrer == login_url:
        referrer = self.request.route_url('home')
    came_from = self.request.POST.get('came_from', referrer)
    csrf_token = self.request.session.get_csrf_token()

    if 'form.submitted' in self.request.POST:
        login = self.request.POST.get('login')
        password = self.request.POST.get('password')
        if csrf_token == self.request.POST.get('csrf_token'):
            if login in USERS:
                manager = BCRYPTPasswordManager()
                if manager.check(USERS[login], password):
                    headers = remember(self.request, login)
                    return HTTPFound(location=came_from, headers=headers)

        message_html = _('view.login.failed-login-message', default='Login failed!')

    return {
        'message_html': message_html,
        'url': login_url,
        'login': login,
        'password': password,
        'came_from': came_from,
        'csrf_token': csrf_token,
    }

これで、ユーザーがログインしようとすると、ビューがフォームをレンダリングし、Cookiesession_idが生成されます。ユーザーが有効なフォームを送信すると、ユーザーを認証するために Cookie の値が受け入れられます。

ユーザーがフォームを送信する前に Cookie の値を変更することを妨げるものは何もありません。この動作は、この質問によると明らかにセキュリティ上の欠陥です。

では、ログインが成功したときに、Cookie から取得する代わりに、サーバーが新しい session_id 値を生成するために、pyramid_beaker を使用する方法は?

4

1 に答える 1

1

Pyramid のセッション API は、権限をエスカレートするときにセッションを無効にする方法を提供します。これはrequest.session.invalidate()、ログイン ビューの から実行できます。pyramid_beaker 自体はrequest.session.regenerate_id()セッション データの維持をサポートしていますが、これは Pyramid セッション API の一部ではなく、pyramid_beaker を使用している場合にのみ機能します。ユーザーが他人のセッション ID を推測するのが心配な場合は、beaker のsession.secretオプションを指定すると Cookie 内に保存される ID が署名されるため、ここで保護されます。

于 2013-04-30T21:25:20.403 に答える