python-在Web.py上进行身份验证-此代码在生产中会不安全吗？

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了python-在Web.py上进行身份验证-此代码在生产中会不安全吗？，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1217字，纯文字阅读大概需要2分钟。

内容图文

我正在制作一个简单的Web应用程序,需要登录管理页面.我在web.py网站(http://webpy.org/cookbook/userauth)上遇到了这个咒语：

import hashlib
import web    

def POST(self):
    i = web.input()

    authdb = sqlite3.connect('users.db')
    pwdhash = hashlib.md5(i.password).hexdigest()
    check = authdb.execute('select * from users where username=? and password=?', (i.username, pwdhash))
    if check: 
        session.loggedin = True
        session.username = i.username
        raise web.seeother('/results')   
    else: return render.base("Those login details don't work.")

但是,该页面还给出了一些不祥的警告：“请勿在实际网站上使用此代码-这仅用于说明.”我想知道这样做是否有重大漏洞,我对网络编程不熟悉,因此只想确保使用此代码不会无意间使应用程序容易受到攻击.

非常感谢

解决方法:

我在这里唯一想到的问题可能是,如果可以某种方式利用MD5 collisions,即两个不同的字符串可以生成相同的MD5哈希值-在这种情况下,有人可能使用错误的密码登录,但会生成相同的MD5哈希值.

更改为更好的哈希算法(例如SHA-1)(或hashlib中可用的其他方法)将解决此潜在的安全问题.

据我所知,利用MD5冲突问题来获得访问权限将非常困难.即使这样,它还是坏了,并引用了维基百科文章中的安全专家Bruce Schneier：

[he] wrote of the attack that “[w]e already knew that MD5 is a broken hash function” and that “no one should be using MD5 anymore.”

内容总结

以上是互联网集市为您收集整理的python-在Web.py上进行身份验证-此代码在生产中会不安全吗？全部内容，希望文章能够帮你解决python-在Web.py上进行身份验证-此代码在生产中会不安全吗？所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端