python - 如何使用 Flask 验证 cookie 完整性？

Question

使用 Flask，我试图验证 cookie 没有被篡改。现在，如果我更改 cookie 值，它只会抛出一个错误，但我想检查代码 is_valid(session['user_id']) 并重定向/重置(如果不是)。

#pocoo 中的某人说:

• actually, you could call SecureCookie.unserialize and catch the exception
• ah, it fails silently
• looks like you have to try unserializing it and check if you get an empty object from it

谁能进一步解释一下这段代码是什么样的？

Answer 1

看看https://github.com/mitsuhiko/werkzeug/blob/master/werkzeug/contrib/securecookie.py#L265

safe_str_cmp(client_hash, mac.digest()) 正在执行检查，如果 cookie 被篡改，该检查将失败。

根据您确切想要捕获的内容，您可以在不同的位置跳入。你可以这样做

data = request.cookies.get("session")
cookie = werkzeug.contrib.securecookie.SecureCookie.unserialize(data, secret_key)

如果有data且cookie不包含任何数据，则反序列化失败。众多原因之一是 safe_str_cmp()(在 unserialize() 中调用)返回 False。