Django-rest-framework: टोकन व्यवस्थापक पृष्ठ लॉग फ़ाइलों में एक्सेस टोकन को लीक करता है

ठीक है। हां। आदर्श नहीं।

टोकन से संबंधित प्रश्नों का उत्तर परंपरागत रूप से यह रहा है कि आपूर्ति किया गया कार्यान्वयन जानबूझकर (अधिक-) सरल है और यदि आपको कुछ अधिक जटिल/बेहतर की आवश्यकता है तो आपको कस्टम कार्यान्वयन का उपयोग करना चाहिए। (यहां लब्बोलुआब यह है कि हमने रखरखाव के बोझ को उचित रखने के लिए यहां कोई और जटिलता जोड़ने से दूर कर दिया है।)

व्यवस्थापक पृष्ठ (उच्च) तक पहुंच वाले उपयोगकर्ताओं और लॉग (मध्यम) देखने की अनुमति वाले उपयोगकर्ताओं के लिए एक्सेस अनुमतियां अलग हैं।

मुझे लगता है कि यह उन लोगों के लिए सच नहीं है जो उत्पादन में आपूर्ति किए गए कार्यान्वयन का उपयोग करेंगे/करेंगे।
(उन मामलों में वे एक ही व्यक्ति होंगे।)

सुनिश्चित नहीं है कि दूसरे क्या कह सकते हैं ...

टोकन से संबंधित प्रश्नों का उत्तर परंपरागत रूप से यह रहा है कि आपूर्ति किया गया कार्यान्वयन जानबूझकर (अधिक-) सरल है और यदि आपको कुछ अधिक जटिल/बेहतर की आवश्यकता है तो आपको कस्टम कार्यान्वयन का उपयोग करना चाहिए।

मुझे यह स्थिति मिलती है, लेकिन फिर दस्तावेज़ों को कम से कम अंतर्निहित कार्यान्वयन से उपयोगकर्ताओं को दृढ़ता से अनुशंसा करनी चाहिए, और चीजों के चरम अंत में बहिष्कृत करना चाहिए। टोकन/हस्ताक्षर प्रमाणीकरण के लिए तृतीय पक्ष अनुशंसा https://github.com/etocalino/django-rest-framework-httpsignature है जिसे 3 वर्षों में अद्यतन नहीं किया गया है। मुझे लगता है कि अगर किसी को बॉक्स से बाहर प्रदान नहीं किया गया था तो तीसरे पक्ष के टोकन प्रदाताओं में बहुत अधिक रुचि होगी।

यह एक बहुत ही गंभीर सूचना प्रकटीकरण आईएमओ है, इसलिए मुझे यकीन नहीं है कि इस मामले में ऑथटोकन के लिए डिफ़ॉल्ट स्थिति सही तरीका है।

नहीं, इसलिए मैंने इसे बंद नहीं किया...

क्षमा करें यदि मेरी प्रतिक्रिया अपेक्षा से अधिक कठोर निकली, तो यह मेरा लक्ष्य नहीं था।

कोई समस्या नहीं! मैं

(आश्चर्य है कि क्या हम सिर्फ मॉडलएडमिन को यूआरएल में कुंजी के हैश का उपयोग करने के लिए मंग सकते हैं ...)

डरपोक, लेकिन वह विचार खतरनाक भी लगता है, हालांकि मैं यह नहीं कह सकता कि क्यों।

एक प्रवासन नौकरी को संभालने में सक्षम होना चाहिए। अन्य तालिकाओं में मुश्किल बिट विदेशी कुंजी होगी, लेकिन ऐसा लगता नहीं है। डीआरएफ टोकन के लिए एफके नहीं बनाता है, और मुझे ऐसे कई कारण नहीं दिख रहे हैं जो उपयोगकर्ता या तो करेंगे।

मुझे नहीं लगता कि मैंने पहले प्राथमिक कुंजी फ़ील्ड को माइग्रेट करने का प्रयास किया है, लेकिन मुझे याद है कि एक ऐसा ऑपरेशन है जो इसे संभालता है, और संबंधित विदेशी कुंजी अपडेट भी।

हां। इसे डेटा माइग्रेशन की आवश्यकता होगी, लेकिन अन्यथा मुझे लगता है कि चारों ओर स्विच करना काफी आसान है।

पुल अनुरोधों का स्वागत है। रिपोर्ट के लिए धन्यवाद!

क्या टोकन अनिवार्य रूप से अद्वितीय होना चाहिए?

मैं समस्या को समझता हूं, लेकिन आपको इस बात पर विचार करना चाहिए कि आप जो माइग्रेशन बनाते हैं (इस समस्या को हल करने के लिए) के आधार पर, आप कई अन्य मुद्दों का कारण बन सकते हैं (उदाहरण के लिए, एक नया पीके फ़ील्ड पेश करने से कुछ अन्य पैकेज टूट जाएंगे जो वर्तमान व्यवहार पर भरोसा करते हैं )

मुझे आश्चर्य है कि क्या टोकन तालिका पर एक ऑटो-इन्क्रीमेंट पूर्णांक फ़ील्ड जोड़ना संभव है जिसका उपयोग प्रामाणिक टोकन के लिए Django व्यवस्थापक पृष्ठ के भीतर संदर्भ के रूप में किया जाता है, लेकिन तालिका की प्राथमिक कुंजी के रूप में नहीं?

एफवाईआई, मैंने अभी सत्यापित किया है कि मेरे विस्तारित टोकन कार्यान्वयन के साथ भी मेरे पास एक ही समस्या है ( django-rest-multitokenauth देखें ) - तो व्यवस्थापक पैनल में उस गलती को इंगित करने के लिए धन्यवाद! मैं यहां समाधान देखने के लिए उत्सुक हूं, इसलिए मैं अपने पायथन पैकेज को अनुकूलित कर सकता हूं।

एफवाईआई, इस तरह मैंने इसे अपने मल्टीटोकनएथ पैकेज में तय किया:
https://github.com/anx-ckreuzberger/django-rest-multiauthtoken/commit/7e11ed606271eff0693a9280f8a30349c7e90b27

मुझे लगता है कि एक ही फिक्स यहां लागू किया जा सकता है, संभावित रूप से अन्य लोगों के कोड को तोड़ने की चेतावनी के साथ यदि उनके पास टोकन तालिका के लिए एक विदेशी कुंजी है

नमस्ते,

आगामी परियोजना के लिए इस पुस्तकालय का मूल्यांकन करने से पहले मैं सिर्फ संबंधित मुद्दों के बारे में सोच रहा था। मेरे पास एक साधारण सवाल है, किसी भी मदद की सराहना करेंगे।

क्या केवल व्यवस्थापक में टोकन मॉडल को पंजीकृत न करने से इस समस्या से बचा जा सकता है?

@raunaqss हाँ, आपको इसे पंजीकृत करने की आवश्यकता नहीं है।

इसे फिर से उठाने के लिए धन्यवाद।

क्या हम जानते हैं कि हम इसके साथ किस तरफ जा रहे हैं?
क्या हमें यूआरएल हैश करना चाहिए या पीके माइग्रेट करना चाहिए?

मैं जनसंपर्क कर सकता हूं।

एक प्रवास यहाँ बहुत समझदार दृष्टिकोण होगा।
मैं 3.11 रिलीज में माइग्रेशन शामिल करने के बारे में बहुत सावधान हूं, उदाहरण के लिए। यह बहुत बड़ी एपीआई कुंजी तालिकाओं वाले लोगों के लिए समस्याग्रस्त/अप्रत्याशित हो सकता है।
मुझे लगता है कि ऐसा करने के लिए एक समझदार बात शायद अलग से एक माइग्रेशन जारी करके शुरू करना होगा, ताकि हम यह सुनिश्चित कर सकें कि कुछ लोग हमारी रिलीज से पहले स्वतंत्र रूप से इसका परीक्षण करने में सक्षम हैं।
एक बार जब हम इससे खुश हो जाते हैं तो हम सीधे माइग्रेशन को शामिल करने पर विचार कर सकते हैं।

आइए, 3.11 रिलीज़ में ही इसे आगे बढ़ाने के बजाय, इसके लिए माइग्रेशन को अलग से जारी करने पर एक नज़र डालते हैं। मैं बहुत बड़ी एपीआई कुंजी तालिकाओं वाले उपयोगकर्ताओं के लिए एक प्रमुख रिलीज में हमारे सभी उपयोगकर्ताओं पर माइग्रेशन को आगे बढ़ाने के लिए प्रभावों से बहुत सावधान हूं।

यह मुद्दा लंबे समय से खुला है, और ऐसा लगता है कि @jarshwah के अवलोकन को django-rest- knox द्वारा संबोधित किया गया है, हम शायद डिफ़ॉल्ट रूप से अधिक सुरक्षित होना चाहते हैं। भले ही drf का इरादा TokenAuthentication को सरल बनाने का है, कई डेवलपर्स एक असुरक्षित प्रमाणीकरण तंत्र को लागू करने के लिए बाध्य हैं। मुझे यकीन नहीं है कि डिजाइन द्वारा गुप्त सामग्री को लीक करने वाले कोड को बॉक्स से बाहर शामिल किया जाना चाहिए।

क्या इस मुद्दे के समाधान में कोई प्रगति हुई है? क्या कोई इस मुद्दे पर इनाम लेने के लिए तैयार है? मुझे कोड का योगदान करने या यदि ऐसा है तो एक इनाम का भुगतान करने में दिलचस्पी होगी।

मैं इसे 3.12 के लिए प्राथमिकता दूंगा।

मुझे कोड योगदान करने में दिलचस्पी होगी

इसके लिए एक पीआर जारी करने के लिए बहुत स्वागत है, निश्चित रूप से।

मुझे कोड का योगदान करने या यदि ऐसा है तो एक इनाम का भुगतान करने में दिलचस्पी होगी।

प्रायोजक बनना योगदान करने का एक अच्छा तरीका है। प्रायोजकों के पास प्राथमिकता का समर्थन होता है और यदि आवश्यक हो तो वे किसी मुद्दे को आगे बढ़ा सकते हैं। https://fund.django-rest-framework.org/topics/funding/#corporate -plans

यह सब बहुत अच्छा लगता है! मैं अब drf और encode का प्रायोजक हूँ। अगर मैं किसी संकल्प पर काम शुरू करता/करती हूं तो मैं इस मुद्दे को अपडेट करना सुनिश्चित करूंगा।

शानदार, बहुत-बहुत धन्यवाद। 🙏

ठीक है, तो यह वास्तव में स्पष्ट नहीं है कि इससे कैसे इनायत से निपटा जाए।

हम वास्तव में चाहते हैं कि मॉडल केवल प्राथमिक कुंजी के लिए एक ऑटो इंक्रीमेंटिंग इंट का उपयोग करे, और "कुंजी" फ़ील्ड एक मानक अद्वितीय, अनुक्रमित फ़ील्ड हो, लेकिन हम उस पर माइग्रेट नहीं कर सकते। तो हमारे पास क्या विकल्प हैं...

• हम rest_framework.authtoken2 की तरह कुछ पेश कर सकते हैं और दस्तावेज़ों को इसके बजाय संदर्भित कर सकते हैं, ताकि नई परियोजनाओं को डिफ़ॉल्ट का बेहतर सेट मिल सके।
• हम मौजूदा फ़ील्ड को PK के रूप में उपयोग करना जारी रख सकते हैं, और वास्तविक टोकन मान के लिए एक नया फ़ील्ड जोड़ सकते हैं। यह स्पष्ट नहीं है कि क्या हम मानों को कॉपी करते हुए डेटा माइग्रेशन पेश कर सकते हैं, जैसा कि हो सकता है? बड़े मौजूदा डेटा सेट वाले उपयोगकर्ताओं के लिए समस्याग्रस्त हो। यह अच्छा लग रहा है... https://stackoverflow.com/questions/41500811/copy-a-database-column-into-another-in-django हमें अनमाइग्रेट किए गए कोडबेस के लिए अभी भी सही व्यवहार के बारे में बहुत सावधान रहना होगा। यदि हम एक परिनियोजित ऐप पर काम कर रहे थे, तो हम आम तौर पर नए क्षेत्र को पेश करके शुरू करना चाहते हैं, और यह सुनिश्चित करना चाहते हैं कि हम दोनों क्षेत्रों में समान मान लिख रहे हैं, जबकि अभी भी कोडबेस पुराने फ़ील्ड को कुछ समय के लिए संदर्भित करता है। और केवल एक बार यह सब तैनात और समन्वयित हो जाने के बाद, नए क्षेत्र का उपयोग करने के लिए कोड परिवर्तन स्विचिंग का परिचय दें।
• हम जैसे हैं वैसे ही जारी रख सकते हैं लेकिन कुछ व्यवस्थापक परिवर्तनों को पेश कर सकते हैं।

क्या किसी के पास इस पर कोई प्रारंभिक विचार है?

इसके अलावा: यही कारण है कि यह इतने लंबे समय से लंबित है - इसका कोई आसान जवाब नहीं है। मैं

मैंने _"कुछ व्यवस्थापक परिवर्तन प्रस्तुत करें"_ विकल्प पर एक नज़र के रूप में #7341 खोला।