Криптографическая подпись ¶

Используя saltаргумент ¶

Если вы не хотите, чтобы каждое вхождение определенной строки имело один и тот же хэш подписи, вы можете использовать необязательный saltаргумент Signer класса. Использование соли засевает хеш-функцию подписи как солью, так и вашими SECRET_KEY:

>>> signer = Signer()
>>> signer.sign('My string')
'My string:GdMGD6HNQ_qdgxYP8yBZAdAIV1w'
>>> signer.sign_object({'message': 'Hello!'})
'eyJtZXNzYWdlIjoiSGVsbG8hIn0:Xdc-mOFDjs22KsQAqfVfi8PQSPdo3ckWJxPWwQOFhR4'
>>> signer = Signer(salt='extra')
>>> signer.sign('My string')
'My string:Ee7vGi-ING6n02gkcJ-QLHg6vFw'
>>> signer.unsign('My string:Ee7vGi-ING6n02gkcJ-QLHg6vFw')
'My string'
>>> signer.sign_object({'message': 'Hello!'})
'eyJtZXNzYWdlIjoiSGVsbG8hIn0:-UWSLCE-oUAHzhkHviYz3SOZYBjFKllEOyVZNuUtM-I'
>>> signer.unsign_object('eyJtZXNzYWdlIjoiSGVsbG8hIn0:-UWSLCE-oUAHzhkHviYz3SOZYBjFKllEOyVZNuUtM-I')
{'message': 'Hello!'}

Использование соли таким образом помещает разные подписи в разные пространства имен. Подпись, полученная из одного пространства имен (конкретное значение соли), не может использоваться для проверки той же строки открытого текста в другом пространстве имен, в котором используется другой параметр соли. В результате злоумышленник не может использовать строку со знаком, созданную в одном месте кода, в качестве входных данных для другого фрагмента кода, который генерирует (и проверяет) подписи с использованием другой соли.

В отличие от вашего SECRET_KEY, ваш солидный аргумент не должен оставаться в секрете.

Проверка значений с отметкой времени ¶

TimestampSignerявляется подклассом, Signerкоторый добавляет к значению метку времени со знаком. Это позволяет вам подтвердить, что подписанное значение было создано в течение определенного периода времени:

>>> from datetime import timedelta
>>> from django.core.signing import TimestampSigner
>>> signer = TimestampSigner()
>>> value = signer.sign('hello')
>>> value
'hello:1NMg5H:oPVuCqlJWmChm1rA2lyTUtelC-c'
>>> signer.unsign(value)
'hello'
>>> signer.unsign(value, max_age=10)
...
SignatureExpired: Signature age 15.5289158821 > 10 seconds
>>> signer.unsign(value, max_age=20)
'hello'
>>> signer.unsign(value, max_age=timedelta(seconds=20))
'hello'

classTimestampSigner ( key = None , sep = ':' , salt = None , algorithm = 'sha256' ) ¶

sign( значение ) ¶

Подпишите valueи добавьте к нему текущую отметку времени.

unsign( значение , max_age = None ) ¶

Проверяет, valueбыл ли подписан менее max_ageсекунды назад, в противном случае - поднимается SignatureExpired. max_ageПараметр может принимать целое число или datetime.timedeltaобъект.

sign_object( obj , serializer = JSONSerializer , compress = False ) ¶

Новое в Django 3.2.

Кодировать, при необходимости сжимать, добавлять текущую метку времени и подписывать сложную структуру данных (например, список, кортеж или словарь).

unsign_object( signed_obj , serializer = JSONSerializer , max_age = None ) ¶

Новое в Django 3.2.

Проверяет, signed_objбыл ли подписан менее max_ageсекунды назад, в противном случае - поднимается SignatureExpired. max_ageПараметр может принимать целое число или datetime.timedeltaобъект.

Изменено в Django 3.1:

algorithmПараметр был добавлен.

Защита сложных структур данных ¶

Если вы хотите защитить список, кортеж или словарь вы можете сделать это , используя Signer.sign_object()и unsign_object()методы, или подписавшись модуля dumps()или loads()функции (которые являются ярлыками TimestampSigner(salt='django.core.signing').sign_object()/unsign_object()). Они используют сериализацию JSON под капотом. JSON гарантирует, что даже в случае SECRET_KEYкражи злоумышленник не сможет выполнять произвольные команды, используя формат рассола:

>>> from django.core import signing
>>> signer = signing.TimestampSigner()
>>> value = signer.sign_object({'foo': 'bar'})
>>> value
'eyJmb28iOiJiYXIifQ:1kx6R3:D4qGKiptAqo5QW9iv4eNLc6xl4RwiFfes6oOcYhkYnc'
>>> signer.unsign_object(value)
{'foo': 'bar'}
>>> value = signing.dumps({'foo': 'bar'})
>>> value
'eyJmb28iOiJiYXIifQ:1kx6Rf:LBB39RQmME-SRvilheUe5EmPYRbuDBgQp2tCAi7KGLk'
>>> signing.loads(value)
{'foo': 'bar'}

Из-за природы JSON (нет естественного различия между списками и кортежами), если вы передадите кортеж, вы получите список из signing.loads(object):

>>> from django.core import signing
>>> value = signing.dumps(('a','b','c'))
>>> signing.loads(value)
['a', 'b', 'c']

dumps( obj , key = None , salt = 'django.core.signing' , serializer = JSONSerializer , compress = False ) ¶

Возвращает безопасную для URL-адресов, подписанную сжатую строку JSON в формате base64. Сериализованный объект подписан с помощью TimestampSigner.

loads( строка , ключ = Нет , соль = 'django.core.signing' , сериализатор = JSONSerializer , max_age = Нет ) ¶

Реверс dumps(), поднимается, BadSignatureесли подпись не работает. Проверяет max_age(в секундах), если есть.