Requests: सत्र का प्राधिकरण शीर्षलेख पुनर्निर्देशित नहीं किया गया है

को निर्मित 28 दिस॰ 2015 · 35टिप्पणियाँ · स्रोत: psf/requests

मैं डेवलपर-api.nest.com को हिट करने और बियरर टोकन के साथ प्राधिकरण हेडर सेट करने के अनुरोध का उपयोग कर रहा हूं। कुछ अनुरोधों पर, एपीआई 307 रीडायरेक्ट के साथ प्रतिक्रिया करता है। जब ऐसा होता है, तब भी मुझे बाद में अनुरोध पर भेजे जाने वाले प्राधिकरण हेडर की आवश्यकता होती है। मैंने एक सत्र के साथ requests.get() का उपयोग करने की कोशिश की है।

मुझे लगता है कि मैं इस के आसपास काम कर सकता है पुनर्निर्देशन की अनुमति नहीं देकर, 307 का पता लगाता हूं और फिर खुद नया अनुरोध जारी करता हूं लेकिन मैं सोच रहा हूं कि क्या यह बग है। क्या मुझे उम्मीद करनी चाहिए कि सत्र के संदर्भ में किए गए सभी अनुरोधों पर प्राधिकरण हेडर भेजा जाएगा?

In [41]: s = requests.Session()

In [42]: s.headers
Out[42]: {'Accept': '*/*', 'Accept-Encoding': 'gzip, deflate', 'Connection': 'keep-alive', 'User-Agent': 'python-requests/2.7.0 CPython/3.4.3 Darwin/15.2.0'}

In [43]: s.headers['Authorization'] = "Bearer <snip>"

In [45]: s.get("https://developer-api.nest.com/devices/thermostats/")
Out[45]: <Response [401]>

In [46]: s.get("https://developer-api.nest.com/devices/thermostats/")
Out[46]: <Response [200]>

In [49]: Out[45].history
Out[49]: [<Response [307]>]

In [50]: Out[46].history
Out[50]: []

In [51]: Out[45].request.headers
Out[51]: {'Accept': '*/*', 'Accept-Encoding': 'gzip, deflate', 'Connection': 'keep-alive', 'User-Agent': 'python-requests/2.7.0 CPython/3.4.3 Darwin/15.2.0'}

In [52]: Out[46].request.headers
Out[52]: {'Accept': '*/*', 'Accept-Encoding': 'gzip, deflate', 'Connection': 'keep-alive', 'User-Agent': 'python-requests/2.7.0 CPython/3.4.3 Darwin/15.2.0', 'Authorization': 'Bearer <snip>'}

Bug

स्रोत

jwineinger

👍3

सबसे उपयोगी टिप्पणी

दो नेस्ट-विशिष्ट वर्कअराउंड हैं।

ऑथराइजेशन हेडर का उपयोग करने के बजाय access_token के साथ auth पैरामीटर पास करना है। मैंने इसे https://gist.github.com/tylerdave/409ffa08e1d47b1.112323 पर पाया

एक और हेडर के साथ एक शब्दकोश को बचाने के लिए है जिसका आप उपयोग करेंगे, पुनर्निर्देश का पालन न करें, और फिर हेडर में एक दूसरा अनुरोध पारित करें:

    headers = {'Authorization': 'Bearer ' + access_token, 'Content-Type': 'application/json'}
    initial_response = requests.get('https://developer-api.nest.com', headers=headers, allow_redirects=False)
    if initial_response.status_code == 307:
        api_response = requests.get(initial_response.headers['Location'], headers=headers, allow_redirects=False)

technicalpickles 5 नव॰ 2016

❤5 👍3

सभी 35 टिप्पणियाँ

रीडायरेक्ट कहां है?

Lukasa 28 दिस॰ 2015

आह, एक अलग डोमेन। firebase-apiserver03-tah01-iad01.dapi.production.nest.com

jwineinger 28 दिस॰ 2015

हाँ, तो यह कुछ हद तक जानबूझकर है: जब हम एक नए होस्ट पर पुनर्निर्देशित होते हैं तो स्ट्रिपिंग प्राधिकरण हेडर के साथ बहुत आक्रामक होते हैं। यह सीवीई 2014-1829 से निपटने के लिए एक सुरक्षा सुविधा है, जो हमें ऑफ-होस्ट रीडायरेक्ट पर हेडर जारी रखने के कारण हुई थी।

हालाँकि, एक निश्चित दृष्टिकोण से, हमें अभी भी यहाँ एक बग मिला है, क्योंकि आपने अनुरोध नहीं, Session पर प्राधिकरण शीर्ष लेख सेट किया है। सिद्धांत रूप में, इसका मतलब यह है "मुझे परवाह नहीं है कि रीडायरेक्ट कहां जाता है, हेडर जोड़ें"। मैं अभी भी _think_ मैं इस दृष्टिकोण है, जो कम से कम यह सुनिश्चित करता है कि हम हमले के किसी भी रूप के लिए खुला नहीं हैं, भले ही यह इस विशिष्ट उदाहरण कुछ हद तक मुश्किल बना देता है। हालाँकि, मुझे विश्वास है कि हम यहाँ बहुत अधिक पागल हो रहे हैं।

Lukasa 28 दिस॰ 2015

हालाँकि, मुझे विश्वास है कि हम यहाँ बहुत अधिक पागल हो रहे हैं।

मैं आश्वस्त होने के लिए कम खुला हूं लेकिन सुनने को तैयार हूं।

उस ने कहा, _allowed_ डोमेन पर इस तरह के हेडर को जारी रखने के लिए एक अलग प्रामाणिक तंत्र लिखा जा सकता है, जिससे हमें rebuild_auth में कुछ काम करने की आवश्यकता होगी।

sigmavirus24 28 दिस॰ 2015

मैं यह कैसे काम करता है की सुरक्षा के साथ बहस नहीं करेगा। हालांकि "असुरक्षित" व्यवहार में चयन करने के लिए कुछ तंत्र होना अच्छा होगा। शायद उन हेडर को (nest.com, इस मामले में) जारी रखने के लिए बेस डोमेन सेट करना या शायद उन डोमेन की सूची जो उन्हें भेजने के लिए ठीक हैं।

jwineinger 28 दिस॰ 2015

हाँ, यह अनुरोधों के मूल से कहीं अधिक जटिलता है, हालांकि कभी भी प्रदान करेगा। इसलिए मैं सोच रहा हूं कि क्या इस तरह की चीज़ के लिए एक अलग ऑथोर क्लास / हैंडलर सबसे अच्छा काम कर सकता है। मुझे यकीन नहीं है कि यह काम करेगा, क्योंकि मैं काफी निश्चित हूं कि हम बिना शर्त prepare_auth कॉल नहीं करते हैं।

sigmavirus24 28 दिस॰ 2015

यह मानक मॉडल में काम नहीं करेगा क्योंकि हम बिना शर्त prepare_auth कॉल नहीं करते हैं। हालाँकि, इस भूमिका को पूरा करने के लिए एक ट्रांसपोर्ट एडेप्टर का उपयोग किया जा सकता है, भले ही यह उस एपीआई का थोड़ा असामान्य उपयोग हो।

Lukasa 28 दिस॰ 2015

मुझे लगता है कि एक टीए बिल्कुल गलत बात है, हालांकि यहां सिफारिश की गई है।

sigmavirus24 29 दिस॰ 2015

यदि सत्र के लिए ऑर्थर प्रदान किया जाता है, तो उसे हर अनुरोध के लिए भेजा जाना चाहिए जो सत्र बनाता है।
शायद हमें session.auth निकालना चाहिए। यह विशेष रूप से उपयोगी नहीं है।

kennethreitz42 30 जन॰ 2016

यदि सत्र के लिए ऑर्थर प्रदान किया जाता है, तो उसे हर अनुरोध के लिए भेजा जाना चाहिए जो सत्र बनाता है।

मैं बुनियादी तौर पर असहमत हूं। सत्रों का उपयोग एक डोमेन के लिए नहीं किया जाता है, यदि वे होते तो मुझे इससे कोई समस्या नहीं होती।

शायद हमें सत्र हटा देना चाहिए। यह विशेष रूप से उपयोगी नहीं है।

मुझे लगता है कि यह उपयोगी है। मुझे लगता है कि यह बेहतर होगा यदि इसे एक टपल सौंप दिया जाए, हालांकि इसकी अनुमति नहीं थी। मुझे इसके बजाय एक प्रामाणिक वर्ग दिखाई देगा जो यह निर्दिष्ट करता है कि किस डोमेन के लिए इसका उपयोग करना है। हम केवल अनुरोध- टूलबेल से

sigmavirus24 30 जन॰ 2016

मुझे भी इसे ठीक करने की आवश्यकता है ताकि मैं हेडड्रेस को रीडायरेक्ट के लिए जारी रख सकूं।

jtherrmann 13 जून 2016

@jtherrmann यदि यह एक

Lukasa 14 जून 2016

क्या इस पर कोई प्रगति या अतिरिक्त विचार दिया गया है?
मैं उसी मुद्दे पर चल रहा हूं।

ethanroy 22 जुल॰ 2016

@ethanroy सत्र स्तरीय स्तरीय हैंडलर का उपयोग करने के मेरे सुझाव से परे कोई अतिरिक्त विचार नहीं है, सीधे आपकी टिप्पणी में।

Lukasa 22 जुल॰ 2016

संबंधित: यदि एक सत्र पुनर्निर्देशित करता है और स्ट्रिप को छोटा करता है, तो get कॉल करना फिर से ऑर्थप्लस करता है और कैश्ड रीडायरेक्ट का उपयोग करता है। तो दो बार खटखटाओ और तुम अंदर आ जाओ।

>>> s = requests.Session()
>>> s.headers.update({"Authorization": "Token {}".format(API_TOKEN)})
>>> s.get(url)

<Response [403]>

>>> s.get(url)

<Response [200]>

GregBakker 8 सित॰ 2016

@GregBakker हां, ईश। यह अभीष्ट व्यवहारों का संगम है। हालाँकि, यह बग नोट करता है कि मूल 403 नहीं होना चाहिए।

Lukasa 8 सित॰ 2016

@Lukasa जब आप कहते हैं कि "समस्या के चारों ओर काम करने का सबसे आसान तरीका एक सत्र स्तरीय स्तरीय हैंडलर सेट करना है," क्या वह चीज है जो आज काम करती है? कोड में जो मैं देख रहा हूं, उसके आधार पर, इसका उत्तर नहीं है, लेकिन आपका शब्द मुझे आश्चर्यचकित करता है यदि मुझे कुछ याद आ रहा है। आप सत्र ऑर्ट विशेषता को सेट करने के बारे में बात कर रहे हैं, है ना?

reteptilian 14 सित॰ 2016

हाँ, वह _should_ काम।

Lukasa 15 सित॰ 2016

@jwineinger तो आप इस समस्या के आसपास कैसे समाप्त हुए? अभी भी ऐसा ही लगता है।

eatm1 26 अक्तू॰ 2016

दो नेस्ट-विशिष्ट वर्कअराउंड हैं।

    headers = {'Authorization': 'Bearer ' + access_token, 'Content-Type': 'application/json'}
    initial_response = requests.get('https://developer-api.nest.com', headers=headers, allow_redirects=False)
    if initial_response.status_code == 307:
        api_response = requests.get(initial_response.headers['Location'], headers=headers, allow_redirects=False)

technicalpickles 5 नव॰ 2016

❤5 👍3

मैंने इसी समस्या का सामना किया और rebuild_auth तरीका कस्टम requests.Session कार्यान्वयन में ओवरराइड करके इसे प्राप्त किया:

from requests import Session

class CustomSession(Session):
    def rebuild_auth(self, prepared_request, response):
        return

s = CustomSession()
s.get(url, auth=("username", "password"))

gabriel-loo 23 मार्च 2017

👍4 👎3

@ gigriel-loo के समाधान में क्या गलत है @ sigmavirus24 ? सुरक्षा चिंतायें?

j08lue 2 जन॰ 2018

@ j0,000ue हाँ। कृपया धागा पढ़ें। नए डोमेन पर मनमाने पुनर्निर्देशन का पालन करने से पहले सीवीई से संबंधित स्ट्रिपिंग प्रमाणीकरण नहीं है । इस तरह से समस्या के बारे में सोचें:

मैं api.github.com अनुरोध कर रहा हूं और एक हमलावर मुझे another-domain.com पुनर्निर्देशन करने का प्रबंधन करता है जिसे वे नियंत्रित करते हैं और मैं अपने टोकन के साथ अपने रिपॉजिटरी (अनुरोधों सहित) तक पहुंच के साथ गुजरता हूं। प्रकट हो सकता है जैसे मैं अनुरोधों के लिए कर रहा हूं जब वास्तव में वे एपीआई के माध्यम से उन लोगों को बना रहे हैं। वे अनुरोधों में कोड शामिल कर सकते हैं जो इसकी सुरक्षा मुद्रा को कमजोर कर देगा और संभवतः आपको सक्रिय रूप से नुकसान पहुंचाएगा। ऐसा तब हो सकता है जब आप बिना रीडायरेक्ट के अपने क्रेडेंशियल को हर रीडायरेक्ट पर भेजते हैं।

फिर भी, मान लें कि पुनर्निर्देशन दुर्भावनापूर्ण नहीं है, क्या आप वास्तव में किसी अन्य कंपनी या सेवा के लिए अपनी साख को लीक करने में सहज हैं? मूल सेवा आपके, आपके ग्राहकों या कुछ और के लिए गोपनीय डेटा संग्रहीत कर सकती है। यहां तक कि अगर नया डोमेन जिसे आप रीडायरेक्ट किया गया है, वह आपकी क्रेडेंशियल्स का उपयोग नहीं करता है, लेकिन संभावित रूप से उन्हें अप्रत्याशित डेटा के रूप में लॉग इन करता है, कोई व्यक्ति जो उन पर हमला करता है और उन लॉग को पुनर्प्राप्त कर सकता है, तो मूल डोमेन के खिलाफ अपने क्रेडेंशियल्स का उपयोग कर सकते हैं यदि वे जहां पहेली बना सकते हैं वे हैं। क्या आप वास्तव में उस जोखिम को उठाने के लिए तैयार हैं?

sigmavirus24 2 जन॰ 2018

चित्रण के लिए धन्यवाद, @ sigmavirus24। यदि यह चिंता अंततः संवेदनशील हेडर को रीडायरेक्ट करने पर रोक लगाती है, तो यह धागा अभी भी क्यों खुला है? मैं आपके द्वारा प्राप्त (403) की तुलना में अधिक उचित त्रुटि के बारे में नहीं सोच सकता था, इसलिए यहां कार्रवाई के लिए कोई बग की आवश्यकता नहीं है, क्या वहां है? या आपके मन में क्या

j08lue 2 जन॰ 2018

मैं इस मुद्दे को हाल ही में मार रहा था जब एक गैर-सार्वजनिक एपीआई के साथ काम कर रहा था। सुरक्षा चिंताओं को पूरी तरह से समझदारी का कारण बनता है क्योंकि यह रीडायरेक्ट पर ऑउटप्ल आउट करने का एक कारण है। मुझे लगता है कि @ gabriel-loo की तरह एक समाधान कुछ लोग सोच सकते हैं कि क्या वे मानते हैं कि वे ऐसा करने के लिए एक सुरक्षित वातावरण में हैं। या सत्र स्तर हैंडलर। या यदि संभव हो तो ऊपर दिए गए सुझाव के अनुसार रीडायरेक्ट को स्किप करके चारों ओर काम करने का दूसरा तरीका खोजें। तो यह वास्तव में एक बग नहीं है देखने के साथ लाइन में।

हालांकि, मैंने जितना संभव हो सकता है उससे अधिक समय जला दिया, इस बारे में भ्रमित होने की आवश्यकता थी कि मुट्ठी भर अन्य गैर-पायथन HTTP क्लाइंट _did_ को ऑर्टिकल हेडर पर कैसे पास करते हैं और जब यह नहीं था तो ठीक काम कर रहे थे। एक सुझाव: हेडर मौजूद होने और छीन लिए जाने पर कॉल करने वालों को यह स्पष्ट करने के लिए warnings माध्यम से चेतावनी जारी करना अच्छा हो सकता है। मुझे लगता है कि यह दुर्लभ है कि यह एक कॉल करने वाला कुछ है। _not_ के बारे में चेतावनी दी जाएगी।

tlantz 7 जन॰ 2018

@tlantz सामान्य रूप से बहुत उचित प्रतीत होता है। एक परियोजना के रूप में अनुरोध (साथ ही urllib3, इसकी निर्भरता में से एक) ने ire की एक महत्वपूर्ण मात्रा का कारण बना दिया है जब यह चेतावनी मॉड्यूल या लॉगिंग के माध्यम से किसी भी प्रकार की चेतावनी जारी करता है। इसके अलावा, चेतावनी मॉड्यूल उन चीजों के लिए है जिन पर लोगों को कार्रवाई करनी चाहिए, उदाहरण के लिए, पायथन के एक संस्करण का उपयोग नहीं करना, जिसे ओपनएसएसएल के हाल के संस्करण के खिलाफ संकलित किया गया है।

ज्यादातर मामलों में, यह व्यवहार उतना समस्याग्रस्त नहीं है, उदाहरण के लिए, टीएलएस कनेक्शन के लिए एक प्रमाणपत्र को सत्यापित करने में असमर्थ होना। यह स्पष्ट रूप से आपकी या किसी और की मदद नहीं करता है जिन्होंने इस मुद्दे पर अपनी वास्तविक और वैध हताशा व्यक्त की है। इसे ध्यान में रखते हुए, मुझे आश्चर्य है कि अगर DEBUG स्तर पर इसे लॉग इन करने का प्रयास करना बेहतर नहीं होगा। यदि कोई लॉगिंग (आमतौर पर एक सभ्य अभ्यास) का उपयोग कर रहा है और उस स्तर को सक्षम करता है जो यह उनके लिए दिखाता है। Futher, यह देखते हुए कि अनुरोधों को कैसे कम से कम लॉग करता है, यह डिबग लॉग के रूप में काफी महत्वपूर्ण होगा। क्या यह एक उचित व्यापार बंद जैसा लगता है?

sigmavirus24 7 जन॰ 2018

👍2

हाँ, यह पूरी तरह से निष्पक्ष व्यापार की तरह लगता है। warnings आसपास तर्क मेरे लिए समझ में आता है। मुझे लगता है कि जब तक आप 30 मिनट के लिए हैरान हो जाते हैं, तब तक आप आमतौर पर logging अपने सामान के आसपास DEBUG जोड़ते हैं, इसलिए मुझे लगता है कि DEBUG संदेश 95% मामलों में लोगों को मारा जाएगा जहां लोग यह जानने की कोशिश कर रहे हैं कि क्या काम नहीं कर रहा है।

tlantz 7 जन॰ 2018

मैं प्राधिकरण शीर्ष लेख को रखने के लिए एक सत्र का उपयोग करता हूं, लेकिन इसे रीडायरेक्ट में नहीं भेजा जा रहा है
अनुरोध (2.18.4)

zhiyuli 26 अप्रैल 2018

👎1

एक सहकर्मी और मैंने कम से कम कुछ घंटे बिताए जो सीधे तौर पर इस व्यवहार से जुड़ा मुद्दा था। मेरा उपयोग मामला api.my-example-site.org से www.api.my-example-site.org API API कॉल पुनर्निर्देशित कर रहा है। रीडायरेक्ट पर हेडर छीने जा रहे थे।

यदि यह अभिप्रेत व्यवहार है (या निकट भविष्य में इसे बदला नहीं जाएगा), तो क्या हम इसे कम से कम प्रलेखन में जोड़ सकते हैं? मैंने उन डॉक्स को पढ़ा और फिर से पढ़ा, जो मैं गलत तरीके से कर रहा था, यह पता लगाने की कोशिश कर रहा हूं, और मैंने Request क्लास में सभी कोड के माध्यम से भी पढ़ा। अगर मैंने दस्तावेज़ीकरण में इस व्यवहार के बारे में चेतावनी देखी होती, तो मैंने अपना मुद्दा कुछ मिनटों में तय कर लिया होता (जो कि मुझे यह धागा मिलने के बाद लगने वाला समय है)। हालाँकि हम प्रलेखन के गलत हिस्से में पढ़ रहे थे, हालाँकि।

ndmeiri 26 जून 2018

हाय @ndmeiri , हमारे पास कस्टम हेडर शीर्षक के तहत अनुरोधों के लिए त्वरित-प्रारंभ मार्गदर्शिका में इस पर कॉल आउट है। अगर आपको लगता है कि इसे लगाने के लिए एक बेहतर जगह है, तो आपके पास किसी भी सुझाव की समीक्षा करने में हमें खुशी होगी। मैं पसंद करूंगा कि हम इसे एक अलग मुद्दे या पीआर में ले जाएं, क्योंकि यह सीधे इस टिकट से संबंधित नहीं है। धन्यवाद!

nateprewitt 26 जून 2018

हाय @nateprewitt , कस्टम हेडर अनुभाग को इंगित करने के लिए धन्यवाद! जाहिर है, मैंने प्रलेखन के उस हिस्से की जांच करने के लिए नहीं सोचा था।

मुझे लगता है कि ऑथेंटिकेशन पर सेक्शन में कॉल आउट, या कॉल आउट के संदर्भ को भी शामिल करना मददगार होगा। हालाँकि मैं वर्तमान में काफी व्यस्त हूं, लेकिन जब डॉक्स को अपडेट करने के लिए चीजें शांत होती हैं तो मैं एक पीआर खोलने पर विचार करूंगा।

ndmeiri 26 जून 2018

यदि यह अभिप्रेत व्यवहार है

@ndmeiri हां, संभावित अविश्वसनीय स्रोतों को अपनी संवेदनशील प्रमाणीकरण क्रेडेंशियल्स को लीक नहीं करने का इरादा है। (केवल स्पष्ट करने के लिए)

sigmavirus24 27 जून 2018

👍1

ऐसा प्रतीत होता है कि # 4983 से "विश्वसनीय डोमेन" अब सत्रहोम के कार्यान्वयन में नहीं हैं।

उस स्थिति में जहां मैं एक URL से अनुरोध कर रहा हूं कि मैं _know_ एक विशेष भिन्न-लेकिन-सुरक्षित URL पर पुनर्निर्देशित करता हूं, और मैं प्राधिकरण शीर्षलेख की दृढ़ता के साथ पुनर्निर्देशन को सक्षम करना चाहता हूं, तो मैं इसे कैसे प्राप्त करूंगा?

BrambleRamble 11 मार्च 2020

मैं इसे कैसे प्राप्त करूंगा?

आप rebuild_auth पद्धति को पैच कर सकते हैं। यह मेरे लिए काम करता है: https://github.com/DHI-GRAS/earthdata-download/blob/master/earthdata_download/download.py#L27 -L49

j08lue 11 मार्च 2020

@ j0coinue धन्यवाद! आपकी टिप्पणी आने से पहले, मैंने allow_redirects से False का अंक निर्धारित करके इस मुद्दे पर काम किया, और कोड का स्पष्ट रूप से उपयोग करने के लिए कुछ, विशिष्ट रीडायरेक्ट्स का उपयोग किया, जो मेरे उपयोग के मामले में अपेक्षित हैं। यह मेरे लिए एक अल्पकालिक स्थिति है, इसलिए मुझे उम्मीद है कि यह एक पर्याप्त अस्थायी समाधान है, लेकिन यह जानना बहुत अच्छा है कि जरूरत पड़ने पर लंबी अवधि में इसे करने का एक बेहतर तरीका है।

BrambleRamble 12 मार्च 2020

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Requests: सत्र का प्राधिकरण शीर्षलेख पुनर्निर्देशित नहीं किया गया है

सबसे उपयोगी टिप्पणी

सभी 35 टिप्पणियाँ

संबंधित मुद्दों