Python-сообщество

имеем след. неприятный момент: стандартные сессии в джанго никак не защищены от перехвата сида
разные разглагольствования в документации про секьюре_куки и прочая белиберда - это для пионеров. никакого практического смысла эти действия не несут. придется все делать самому.

итак, я хочу сделать следующее: сессиия должна не тупо подниматься по sessionid, но в поднятой сессии еще должны проверяться параметры предыдущего соединения на предмет совпадения с текущими. в частности, например, REMOTE_ADDR
как я понимаю, мне нужно переопределить django.contrib.sessions.SessionMiddleware (в частности, метод process_request), чтобы он после поднятия сессии производил проверку request.META на соответствие с session и в случае несоответствия, в request.session заводилась бы новая сессия

вопрос: как это сделать?
ибо у меня никак не получается заставить джангу подхватить сессии через мой миддлварь…

fetish
вопрос: как это сделать?

fetish
разные разглагольствования в документации про секьюре_куки и прочая белиберда - это для пионеров. никакого практического смысла эти действия не несут.

Если уж так хочется - стоит использовать HTTPS. Проверка REMOTE_ADDR тоже ломается “пионерскими” методами. Тогда как HTTPS вполне надежен - и изобретать ничего не нужно.

Daevaorn
Отключить стандартную мидлварь и включить свою на её место.

from django.contrib.sessions.middlware

class MySessionMiddleware(middleware.SessionMiddleware):
    def process_request(self, request):
        ...

Андрей Светлов
Если уж так хочется - стоит использовать HTTPS.

Андрей Светлов
Проверка REMOTE_ADDR тоже ломается “пионерскими” методами.

romankrv
Подтвердите фактами ваше утверждение, чтобы не вводить в заблуждение тех кто не в курсе этого вопроса, что это белеберда.

romankrv
И тогда вам нужно сообщить об этом разработчикам – указать им что они “пионеры” чтобы переделали свой “неудачный софт”.

Отредактировано (Апрель 7, 2009 22:29:06)

fetish
ну это понятно
а как это сделать-то?

Daevaorn
Вот на место стандартной SessionMiddleware свою и ставьте.

Daevaorn
ну что же вы сами как пионер и не читаете документацию?:-)

fetish
как джанго узнал, что нужно использовать мою миддлварь? неужели ему пофиг и он смотрит исключительно по именам методов?

fetish
в документации подробно расписано как делать “хелло ворды”
о том как работает джанго и как с ней работать в документейшене почти ничего не сказано

1. У нас тоже большинство пользователей с динамическими айпи, или практически с общей внешней. Так что или не будет работать проверка и будут заводится новые сессии, или внутри одного провайдера/сети можно вполне украсть куки, и те пройдут проверку.
2. https позволяет закрыть траффик от третьих лиц, а следовательно украсть куки обычным сниффером не получится.
По поводу подставки IP - я не знаю простого способа это сделать.

Daevaorn
…и вызывает методы в зависимости от стадии обработки запроса.

Ferroman
https позволяет закрыть траффик от третьих лиц, а следовательно украсть куки обычным сниффером не получится.

Ferroman
По поводу подставки IP - я не знаю простого способа это сделать.

Ferroman
У нас тоже большинство пользователей с динамическими айпи…

Ferroman
…или практически с общей внешней.

Ferroman
…или внутри одного провайдера/сети можно вполне украсть куки, и те пройдут проверку.