Django：EncryptedCharField（django-extensions）で検索することは可能ですか？

Question

これは可能ですか？

"first_name"という名前のEncryptedCharFieldを使用しているモデルの場合、フィールドを検索するとそのフィールドは復号化されません。他のすべての用途では問題ありません。これは動作しません。

if form.is_valid(): 
    cd = form.cleaned_data 
    search_results = MyTable.objects.filter(first_name__icontains=cd['search_term']) 

これは仕様ですか、何か間違っていますか？ あなたに助けてくれてありがとう...

解読された値が正確であっても、解読された値を最初に暗号化すると、暗号がそのデータベースに格納されているものと同じになることはないでしょう。だから、これは動作しないでしょう。

crypter = Crypter.Read(settings.ENCRYPTED_FIELD_KEYS_DIR) 
if form.is_valid(): 
    cd = form.cleaned_data 
    cipher = crypter.Encrypt(cd['search_term']) 
    search_results = MyTable.objects.filter(first_name__icontains=cipher) 

Answer 1

を（それが適切に行われているとき、あるいは少なくとも）何かが暗号化されている場合、価値を知らなくても、暗号化されている値を獲得することは不可能です。これは、ユーザーがパスワードの値を与えたときに、パスワードの値を非常に迅速に確認できる一方で、暗号化された文字列からパスワードの値を見つけるのは非常に難しいことを意味します。これはP=NPトピックの一部です。

MyTable.objects.filter(first_name=cipher)で検索すると、暗号化された文字列を比較するだけです。これは問題ありません。しかし、MyTable.objects.filter(first_name_icontains=cipher)を試してみると、djangoにすべての値の暗号化を解除し、それらを比較してから一致するものを返すように求めています。しかし、djangoはこれを行うことはできません。なぜなら、解読されたfirst_nameフィールドの値が何であるかを誰も知らないからです。これは、データベースが侵害されてもデータが安全であることを意味する（つまり、パスワードを表示するWebサイトや組織に注意する必要があります。データベース）。全体的に、ユーザーのパスワードを見ることができないことは良いことであり、同意しなくても、良いセキュリティを確保するためには小さな値段です。

Answer 2

値のHMACハッシュを別のフィールドに保存して検索するだけでもかまいません。