python - Flask key 长度

Question

Python Flask 应用程序中可以使用的最大 key 大小是多少？我在网上看到的所有示例，包括 http://flask.pocoo.org/docs/0.12/quickstart/#sessions似乎建议使用 192 位 key ，但我想知道是否可以使用 256 位 key 。

Answer 1

Flask 使用 itsdangerous.Signer 进行 session 数据签名，签名中使用的 key 不是您通过 SECRET_KEY 配置选项提供的 key ，而是 is derived与 HKDF .

默认情况下，Flask uses HMAC-SHA1作为 HKDF 算法，您只能得到 160 位签名 key ，SECRET_KEY 的长度没有区别。为了获得256位session签名 key ，您可以扩展flask.sessions.SecureCookieSessionInterface，将digest_method更改为SHA256，当然，您仍然需要一个很长的随机 SECRET_KEY 以获得足够的熵。