余分なbooleanFieldを使用してパスワードを作成する

Question

次の問題があります。自分のサイトの登録パスワードを作成して、 ユーザーが登録できるようにこのパスワードを知っておく必要があります。また、私はどのような種類の権利をユーザーがこのパスワードで取得するかを決定するブール値がリンクされています。

私はこれをadminに登録して、パスワードを追加したり削除したりできます。パワーユーザーをtrueまたはfalseにリンクさせることができます。ユーザー登録は、私はこのようなブール値をチェックするときに：

registrationpassword = form.cleaned_data.get('registrationpassword') 
ispoweruser = RegistrationPassword.objects.get(password=registrationpassword).poweruser 

問題は、ハッシュ化されたか、どのような方法で暗号化されていないパスワードです。メソッドにセキュリティを追加するにはどうしたらいいですか？

Answer 1

auth appとuser.is_superuserを使用してください。車輪を改造しないでください。

Answer 2

問題はパスワードがハッシュ化されていないか暗号化されていないことです。メソッドにセキュリティを追加するにはどうしたらいいですか？

ほとんどの場合、パスワードはSHA-xまたはMD-5ハッシュアルゴリズムを使用してハッシュされます。そのような場合、開発者はパスワードをハッシュし、ハッシュされたコピーをデータベースまたはコードに格納します。だからどこでも人間が読めるコピーはありません。

このパスワードに対して認証するには、ユーザーが入力したパスワードのハッシュを作成し、保存されたパスワードと比較する必要があります。

あなたはハッシュがWebページを送信する前にJavaScriptで行うことができるWebアプリケーションを作成する場合は、この方法は、ハッシュされたパスワードは、それが困難なハッカーが傍受できるようにすること、ネットワークを通過してから、「アンハッシュ」彼らは

以下の（私たちは、MD5とユーザーパスワードを使用していると仮定すると、「テスト」である）のようになりますJavascriptのハッシュ

1. 098f6bcd4621d373cade4e832627b4f6である「テスト」のMD 5を生成し、クライアント側でDB
2. に保管してください（javascript）はセッションIDを取得します
ユーザーを言わせ
3. は結果が先頭に追加セッションIDで再び098f6bcd4621d373cade4e832627b4f6
4. MD5それである「テスト」md5のそれ最初のように入るので、新しいMD5 f93437292fca0cf9b71bf1f3fe6c4679
5. を送っている（のセッションここID 9985ですが、言わせて）サーバにハッシュする
6. サーバは、セッションメソッドを使用してセッションIDを取得できます。たとえば、Javaではsession.getId（）でIDを取得できます。

7. は、ユーザからNEWPWDとして（ '9985'）CONCAT（PWD）以下

   選択MD5と類似しているクエリを実行する場合、ユーザとのuname = 'XYZ'

8. 一致 "NEWPWD"送信された値

誰かがHTTP応答でデータを投稿しようとすると、サーバーは毎回新しいセッションIDを作成するため、認証は完了しません。 したがって、ユーザーがログアウトし、新しいハッシュされたパスワードでログバックする場合は、電線を通じて送信されます。

また、私はどのような権利の決定するであろう、それにリンクされているブール値を希望のご参考

Python's safest method to store and retrieve passwords from a database

What is the format in which Django passwords are stored in the database?

http://en.wikipedia.org/wiki/Salt_(cryptography)

Answer 3

については、以下のリンクを参照してください。ユーザーはこのパスワードを取得します

しないでください。グループを使用する。それが彼らのためのものです。

この「パワーユーザー」がスーパーユーザーでない場合は、特別な権限を持つグループを定義し、パワーユーザーをこのグループに入れる必要があります。

各ビュー機能は、ユーザーがビュー機能を使用するために適切なグループにいることを確認する必要があります。

今やispoweruserは、グループ名に対して簡単なテストです。余分なブール値はありません。