python - 自定义用户身份验证。它是如何完成的，有最佳实践吗？

Question

我正在使用带有 Python 的 Google 引擎应用程序。我想添加自定义用户身份验证。如何通过最佳实践完成？

我想要自定义身份验证，因为该应用是在 Flex 中构建的，我不想重定向到 HTML 页面。

用户值对象是这样的:

class User(db.Model):
   email = db.EmailProperty(required = True, indexed = True)
   masked_password = db.StringProperty(required = True)
   # maybe more things here

我想屏蔽密码，GAE 中有一些内置函数吗？

那我怎么记住当前用户呢？通过 session 和 cookie？或者还有什么？

Answer 1

密码:

处理密码的最佳方法是为每个用户存储一个随机盐值以及密码 + 盐的哈希结果。

当用户要登录时，计算hash(password + salt)，看是否和你最初设置密码时存储的hash值相同。这个想法永远不会以明文形式存储密码，并且使用相同密码的两个用户不会有相同的散列值。

您可以在网上和 SO 上找到许多这方面的示例。

session :

有很多方法可以实现 session ，使用 cookie 很流行。我建议您使用已经可用于此目的的库之一。看这个comparison of libraries .