python - Python Web アプリの一部を安全にできますが、他の部分は安全ではありませんか?

Question

Web 開発のために python/django に切り替えることを検討しています。移植する必要があるアプリケーションの一部では、サイトの管理セクションが SSL 経由で提供されていますが、メイン インターフェイスはそうではありません。

サイトの残りの部分がHTTP経由である間に、SSL経由でdjangoアプリの管理部分を提供する方法はありますか?

Answer 1

それは間違いなく可能です。を使用している場合はnginx、次のようにします。

の下/etc/nginx/sites-available/defaultで、サーバー タグの下に次を追加し、ファイルを適切に構成します。

    #SSL Support added
    listen   443 ssl;
    ssl_certificate     /etc/ssl/ssl/nginx/server.crt;
    ssl_certificate_key /etc/ssl/ssl/nginx/server.key;
    ssl_protocols       SSLv3 TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers         HIGH:!aNULL:!MD5;

次に、あなたの middleware.py で、

class SecureRequiredMiddleware(object):
    def __init__(self):
        self.paths = getattr(settings, 'SECURE_REQUIRED_PATHS')
        self.enabled = self.paths and getattr(settings, 'HTTPS_SUPPORT')

    def process_request(self, request):
        if self.enabled and not request.is_secure():
            for path in self.paths:
                if request.get_full_path().startswith(path):
                    request_url = request.build_absolute_uri(request.get_full_path())
                    secure_url = request_url.replace('http://', 'https://')
                    print self.paths, request_url, secure_url
                    return HttpResponsePermanentRedirect(secure_url)
        return None

次に、settings.py で、

....
MIDDLEWARE_CLASSES = (
    'django.middleware.common.CommonMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    # Uncomment the next line for simple clickjacking protection:
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    'djo.middleware.SecureRequiredMiddleware',
....
HTTPS_SUPPORT = True
SECURE_REQUIRED_PATHS = (
    r'/admin/',
)

これで始められるはずです。