repoze.who.plugins.browserid는 모질라의 BrowserID 프로젝트를 통해 인증을위한 repoze.who 플러그인은 다음과 같습니다
& NBSP; HTTPS : //browserid.org/
그것은 현재 browserid.org 검증 서비스에 게시하여 BrowserID 주장의 검증을 지원합니다. 프로토콜은 더 안정하게 국부적으로 주장을 검증 할 수있는 능력을 성장할 것이다.
플러그인의 구성과 같이 표준 repoze.who config 파일에서 수행 할 수 있습니다 :
[플러그인 : browserid]
사용 = repoze.who.plugins.browserid : make_plugin
관객 = www.mysite.com
rememberer_name = authtkt
[플러그인 : authtkt]
사용 = repoze.who.plugins.auth_tkt : make_plugin
비밀 = 나의 특별한 비밀
[식별자]
플러그인 = authtkt browserid
[인증 자]
플러그인 = authtkt browserid
[도전자]
플러그인 = browserid
이 요청에 걸쳐 사용자의 로그인을 기억 할 수 있도록 우리가 표준 AuthTkt 플러그인과 BrowserID 플러그인을 페어링합니다.
사용자 지정
다음 설정은 플러그인의 동작을 사용자 정의 구성 파일에 지정 될 수 있습니다
& NBSP; 관객 :
& NBSP; BrowserID 주장 관객 허용 호스트 이름 또는 글로브 패턴의 공백으로 구분 된 목록입니다. 잠재 고객이 모든 주장은 목록에서 항목이 거부됩니다 일치하지 않습니다.
& NBSP 그것은 BrowserID의 보안에 필수이기 때문에 당신은이 설정에 대한 값을 지정해야합니다. 더 자세한 내용은 아래의 보안주의 사항 절을 참조하십시오.
& NBSP; rememberer_name :
& NBSP; / 기억 인증을 잊지 호출해야 다른 repoze.who 플러그인의 이름입니다. 이것은 일반적으로 내장 auth_tkt 플러그인으로 로그인 한 쿠키 구현이 될 것입니다. unspecificed 또는 없음 후 인증을 기억하지되지 않습니다.
& NBSP; postback_url :
& NBSP; 자격 증명을 BrowserID에 URL 검증을 위해 전송해야합니다. 기본값은 희망없는 충돌한다 : /repoze.who.plugins.browserid.postback.
& NBSP; assertion_field :
& NBSP;
& NBSP; POST 양식 필드의 이름이있는 BrowserID의 주장을 찾을 수 있습니다. 디폴트 값은 "어설"이다.
& NBSP; came_from_field :
& NBSP; 참조 페이지를 찾을 수있는 POST 양식 필드의 이름이있는 사용자는 자신의 로그인을 처리 한 후 이동합니다합니다. 기본값은 "came_from"입니다.
& NBSP; csrf_field :
& NBSP; POST 양식 필드의 이름이있는 CSRF 보호 토큰을 찾을 수 있습니다. 기본값은 "csrf_token"입니다. 다음 빈 문자열로 설정하면 CSRF 검사를 사용할 수 없습니다.
& NBSP; csrf_cookie_name :
& NBSP;
& NBSP; 쿠키의 이름이있는 설정하고 CSRF 보호 토큰을 찾을 수 있습니다. 기본 쿠키 이름은 "browserid_csrf_token"입니다. 다음 빈 문자열로 설정하면 CSRF 검사를 사용할 수 없습니다.
& NBSP; challenge_body :
& NBSP;에서의 위치 중 하나를 점으로 구분 된 파이썬 참조 또는 파일 이름으로, 로그인 페이지의 HTML을 찾습니다. 포함 된 HTML 도전, 예를 들면 세부 사항을 포함하는 파이썬 문자열 보간 구문을 사용할 수 있습니다 CSRF 토큰을 포함 % (csrf_token을) s를 사용합니다.
& NBSP; verifier_url :
& NBSP; BrowserID 검증 서비스의 URL이있는 모든 주장을 확인하기 위해 게시 될 것입니다. 디폴트 값은 표준 browserid.org 검증기이며 모든 목적에 적합해야한다.
& NBSP; urlopen을 :
& NBSP; BrowserID 검증 서비스에 액세스하는 데 사용됩니다 urllib.urlopen과 같은 API를 구현하는 호출의 점으로 구분 된 파이썬 이름. 기본값 유틸 : 기본적으로 엄격한 점검 HTTPS 인증서를 수행하는 secure_urlopen.
& NBSP; check_https :
& NBSP; 부울 enencrypted 연결을 통해 로그인 시도를 거부할지 여부를 나타낸다. 기본값은 False입니다.
& NBSP; check_referer :
& NBSP; 부울 리퍼러 헤더는 시청자들이 기대와 일치하지 않는 로그인 시도를 거부 할 수 있는지 여부를 나타내는. 기본값은 보안 연결 만이 검사를 수행하는 것입니다.
보안 정보
CSRF 보호
이 플러그인은 바스 등등에 의해 설명 된대로 로그인-CSRF 공격에 대한 기본적인 보호를 제공하기 위해 시도합니다. 알. "크로스 사이트 요청 위조에 대한 강력한 방어"에 :
& NBSP; HTTP : //seclab.stanford.edu/websec/csrf/csrf.pdf
상기 논문의 용어에서는 엄격한 리퍼러가 보안 연결에 대한 검사와의 세션 독립적 인 비표를 결합합니다. 당신은 "csrf_cookie_name", "check_referer"와 "check_https"설정을 조정하여 보호 기능을 조정할 수 있습니다.
대상 점검
BrowserID 도난 로그인에 대해 보호하기 위해 "고객"의 개념을 사용합니다. 공격자가 하나의 사이트에서 주장을 수집하고 다른에 로그인하는 데 사용할 수 없도록 관객들은 특정 호스트에 BrowserID의 주장을 묶는다.
이 플러그인은 기본적으로 엄격한 점검 관객을 수행합니다. 플러그인을 만들 때 허용 대상 문자열의 목록을 제공해야하며, 그들은 당신의 응용 프로그램에 특정해야한다. 예를 들어, 응용 프로그램은 세 가지 다른 호스트 이름에 대한 요청을 처리 http://mysite.com, http://www.mysite.com 및 http://uploads.mysite.com, 당신이 제공 할 수 있습니다 :
[플러그인 : browserid]
사용 = repoze.who.plugins.browserid : make_plugin
관객 = mysite.com * .mysite.com
응용 프로그램이 HTTP 호스트 헤더의 엄격한 검사를하는 경우, 당신은 목록을 공백으로 남겨 둠으로써 관객과 호스트 헤더를 사용하는 플러그인을 지시 할 수 있습니다 :
[플러그인 : browserid]
사용 = repoze.who.plugins.browserid : make_plugin
관객 =
이것은이 일부 시스템에서 안전하지 않은 수 있기 때문에 기본 동작하지 않습니다
이 릴리스의 새로운 기능입니다 무엇 : 있습니다.
navigator.id.get를 (사용하는 자바 스크립트를 수정) 대신의 사용되지 않는 navigator.id.getVerifiedEmail.
이 버전 0.4.0의 새로운 기능 :
이 PyVEP에서 PyBrowserID로 마이그레이션.
이 버전 0.3.0의 새로운 기능 : PyVEP있다와 API 호환성을위한
이 업데이트, 0.3.0 =.
이 버전 0.2.1의 새로운 기능 : PyVEP있다와 API 호환성을위한
이 업데이트, 0.2.0 =.
이 버전 0.2.0의 새로운 기능 :
라는 & quot standand 형 라이브러리에 리팩터링 확인 코드를, 지금 종속성입니다 PyVEP & quot ;,.
이 요구 사항 :
이 파이썬
댓글을 찾을 수 없습니다