Requests: सत्यापित करें = गलत और request.packages.urllib3.disable_warnings ()

मुझे लगता है कि आप इन्हें वैश्विक स्तर पर warnings मॉड्यूल के साथ अक्षम कर सकते हैं। इसके अलावा, लॉगिंग के साथ काम करने के लिए (अगर मुझे सही से याद है) तो आपको urllib3 (और हम इसे दस्तावेज करते हैं) तक पहुंचने की जरूरत है, इसलिए मैं उन उपयोगकर्ताओं के लिए इसे दस्तावेज करने के खिलाफ नहीं हूं जो HTTPS के लिए प्रमाणपत्र सत्यापन का उपयोग नहीं करने जा रहे हैं। सम्बन्ध।

मैं इन चेतावनियों को यथावत रखने के पक्ष में हूं। हां, वे परेशान कर रहे हैं, लेकिन वे एक कारण से भी हैं। अगर कुछ भी, मैं इसे बंद करने और इसे अपने स्वयं के एक के साथ बदलने का लुत्फ उठा रहा हूं! = पी

इस बिंदु पर यह बिल्कुल स्पष्ट है कि @kennethreitz @shazow कोई राय?

कुछ हद तक, मैं मानता हूं कि चेतावनियां महत्वपूर्ण हैं, लेकिन मुझे लगता है कि ऐसे कई कारक हैं जिन पर विचार करने की आवश्यकता हो सकती है।

एक डेवलपर के नजरिए से, मुझे पता है कि मैं इसके बारे में जानता हूं, अगर मैं इच्छुक हूं तो मैं इसे बंद कर सकता हूं। मैं संकुल के लिए नया हूं, इसलिए जब मैं दस्तावेज़ों को पढ़ता हूं, चेतावनी में, वह समाधान वास्तव में काम नहीं करता था। मुझे यह विचार पसंद है कि @ लुकासा ने कुछ ऐसा बनाने के बारे में प्रस्तुत किया जो विशिष्ट है requests ।

एक उपयोगकर्ता के दृष्टिकोण से, मैंने आज pyvmomi साथ pip किया, जो अपने आंतरिक में requests का उपयोग करता है। यह वास्तव में एक गैर-पारदर्शी त्रुटि है जो उपयोगकर्ता को वापस उस मामले में उत्सर्जित हो जाती है जहां requests एक मूक सहायक पुस्तकालय है।

हाँ, requests.packages.urllib3.disable_warnings() चेतावनियाँ मॉड्यूल के फ़िल्टरिंग का उपयोग करके इसे बंद करने का एक शॉर्टकट है।

मैं इस आशय की किसी प्रकार की चेतावनी देने की दृढ़ता से अनुशंसा करता हूं। +0.5 urllib3 एक प्रचारित होने पर, +1 यदि आप प्रयास करना चाहते हैं और अनुरोध-विशिष्ट एक जोड़ना चाहते हैं। -1 कोई चेतावनी नहीं होने पर।

यदि आप चाहें, तो हम urllib3 चेतावनी संदेश को विन्यास योग्य बना सकते हैं और आप इसे ओवरराइड कर सकते हैं ताकि आप अन्यथा उसी तर्क पर पिगीबैक कर सकें।

एक बार फिर, मैं इस संदेश को उपयोगकर्ता-विरोधी नहीं मानता, मैं इसे अत्यंत मूल्यवान मानता हूं। अब आप जानते हैं कि pyvmomi ने TLS प्रमाणपत्र सत्यापन को बंद कर दिया है, जो कि काफी महत्वपूर्ण जानकारी है!

उस ने कहा, मुझे इसे चुप कराने के लिए और अधिक अनुरोध-वाई तरीके होने पर कोई आपत्ति नहीं है।

हाँ, वास्तव में मुझे लगता है कि यह pyvmomi में एक बग है। अगर वे इस तरह शर्मिंदा नहीं होना चाहते हैं, तो उन्हें अपने टूल में चेतावनियों को अक्षम करना चाहिए। यह हमारा काम नहीं है कि हम उपयोगकर्ताओं को चेतावनी दें कि कुछ उपकरण जो कनेक्शन बना रहे हैं, वे उन्हें MITM हमलों के लिए उजागर कर सकते हैं क्योंकि उपकरण प्रमाणपत्र सत्यापन नहीं कर रहा है।

चर्चा के लिए धन्यवाद दोस्तों! मैं टिप्पणी करने वाले सभी लोगों की सराहना करता हूं, और जिस तरह से चीजें की जाती हैं, और क्यों मुझे मूल्य देखने में मदद करता है। मुझे अधिक सामान्य मामलों को देखने में कठिनाई हो रही थी! :)

आज एक पैच पर काम करेंगे, जैसा कि समय की अनुमति है, मौन के लिए एक 'अनुरोध-वाई' तरीका है। प्रतिक्रिया का स्वागत किया जाएगा!

@invisiblethreat यदि आपके कोई प्रश्न हैं तो आईआरसी में जाने के लिए स्वतंत्र महसूस करें

बस सोच रहा था कि क्या आपने उस मामले पर विचार किया है जहां वेबहुक में अनुरोधों का उपयोग किया जाता है। मुझे चेतावनी को दबाना है ताकि यह स्क्रिप्ट के JSON आउटपुट को प्रदूषित न करे (या क्या मुझे कुछ याद आ रहा है?)

@macterra मुझे यकीन नहीं है कि मैं समझता हूं। क्या आप चेतावनी को अक्षम करने के लिए वैकल्पिक रणनीतियों की तलाश कर रहे हैं या ...?

यह भी मेरे लिए बेहद अस्पष्ट है कि आपका वेबहुक प्रमाणपत्र सत्यापन को अक्षम क्यों कर रहा है। मैं इसे छोड़ना चाहूँगा।

इसके अलावा, यदि आप परिणाम प्राप्त करने के लिए किसी स्क्रिप्ट से stdout पाइप कर रहे हैं, तो stderr से चेतावनियां सामने आएंगी ताकि वे आपके JSON आउटपुट को प्रदूषित न करें।

ठीक है, अगर चेतावनी stderr पर है तो कोई बात नहीं। मैं कंसोल में आउटपुट को देखने से नहीं कह सकता, मेरी गलती।

मुझे लगता है कि हमें urllib3 के दस्तावेज़ों के बजाय अनुरोध दस्तावेज़ीकरण को इंगित करने के लिए इसे अनुकूलित करना चाहिए।

मुझे यकीन नहीं है कि मैं समझता हूं कि यह चेतावनी सुविधा क्या हासिल करने के लिए है और चेतावनी को कैसे नियंत्रित किया जाना है।

मेरे पास एक मॉड्यूल है जो requests का उपयोग करता है और verify=False तर्क के साथ अनुरोध करना है। यह मेरे मॉड्यूल के उपयोगकर्ताओं को अनावश्यक चेतावनी देखने का कारण बनता है। अनावश्यक चेतावनियाँ महत्वपूर्ण चेतावनियों को देखना अधिक कठिन बना देती हैं,

यह मेरे मॉड्यूल के लिए चेतावनी को अक्षम करने के लिए समझ में आता है, लेकिन फिर _मैं किसी अन्य मॉड्यूल में भी चेतावनी को अक्षम कर दूंगा_ आवेदन में requests का उपयोग कर!

चीजें बेहतर नहीं हैं अगर मुझे चेतावनी को अक्षम करने के लिए अपने मॉड्यूल के उपयोगकर्ता को निर्देश देने की आवश्यकता है: तथ्य यह है कि मैं requests का उपयोग कर रहा हूं, आमतौर पर केवल एक अदृश्य कार्यान्वयन विवरण है जिसे उपयोगकर्ता को जानने की आवश्यकता नहीं है। और उपयोगकर्ता के पास अभी भी सब कुछ चुप करने या नोट करने का विकल्प होगा।

मुझे नहीं लगता कि वैश्विक चेतावनियां मददगार साबित होंगी।

मैं urllib3.HTTPSConnectionPool को उपवर्ग कर सकता हूं और _validate_conn() ओवरराइड कर सकता हूं और requests उपयोग अपने मॉड्यूल में अन्य मॉड्यूल से चेतावनियों को छिपाने से बचने के लिए कर सकता हूं, लेकिन ऐसा लगता है कि यह एक साधारण चीज़ के लिए बहुत अधिक काम है। .

मुझे यकीन नहीं है कि मैं समझता हूं कि यह चेतावनी सुविधा क्या हासिल करने के लिए है

मेरे मॉड्यूल के उपयोगकर्ताओं को अनावश्यक चेतावनी देखने का कारण बनता है।

जब आप verify=False सेट करते हैं तो आप अपने नेटवर्क कनेक्शन को सुरक्षित नहीं कर रहे होते हैं। वह, IMHO, _not_ एक अनावश्यक चेतावनी है, यह एक अत्यंत प्रासंगिक चेतावनी है। आपके उपयोगकर्ता, जिन्हें पहले पता नहीं था कि आप प्रमाणपत्रों का सत्यापन नहीं कर रहे हैं, अब जानते हैं कि यह सच है।

यदि चेतावनी आपके मॉड्यूल के लिए मूल्यवान नहीं है, तो यह एप्लिकेशन में किसी अन्य मॉड्यूल के लिए मूल्यवान होने की संभावना नहीं है (एक बार जब आप एक नेटवर्क बिंदु में सुरक्षा फेंक देते हैं तो इसके बारे में हर जगह चिल्लाने का कोई मतलब नहीं है)। मुझे वास्तव में इसे विश्व स्तर पर अक्षम करने में कोई समस्या नहीं दिखती है।

जब उपयोगकर्ता किसी विशेष अनुरोध के लिए स्पष्ट रूप से verify=False अनुरोध करता है, तो मुझे चेतावनी दिखाने का मूल्य दिखाई नहीं देता है। जब मैं एक मॉड्यूल लेखक के रूप में verify=False सेट करता हूं, तो मैं इसे उपयोगकर्ता के अनुरोध द्वारा सेट करता हूं (या मैं दुर्भावनापूर्ण हूं, लेकिन चेतावनी वहां भी मदद नहीं करती है, क्योंकि मैं चेतावनियों को चुप करा सकता हूं)। दरअसल, मैं दुर्भावनापूर्ण होने से बचना चाहता हूं और विश्व स्तर पर चेतावनियों को चुप नहीं करना चाहता, क्योंकि यह उन अनुरोधों के लिए उपयोगी चेतावनी को हटा देता है, आवेदन का कुछ अन्य हिस्सा अनजाने में असुरक्षित रूप से बना रहा है।

साथ ही, उन अनुरोधों के लिए चेतावनी होने पर जहां उपयोगकर्ता द्वारा सत्यापन को स्पष्ट रूप से बंद कर दिया गया है, उन अनुरोधों को भी छुपाता है जहां उपयोगकर्ता चेतावनी चाहता है, क्योंकि चेतावनी केवल एक बार दी जाती है। चेतावनी भी उपयोगकर्ता के लिए वास्तव में सहायक नहीं है, क्योंकि इसमें विशेष अनुरोध के यूआरएल का उल्लेख नहीं है।

मैं इस बात से सहमत नहीं हूं कि एक नेटवर्क बिंदु में सुरक्षा को फेंकने से किसी भी तरह की सुरक्षा जांच आवेदन में बेकार हो जाती है, न ही कोई ब्राउज़र विक्रेता। ब्राउज़र मुझे अलग-अलग यूआरएल के लिए सुरक्षा जांच को बायपास करने देते हैं लेकिन बाकी की जांच करते रहते हैं और मुझे वह पसंद है।

जब मेरे पास एक उपकरण है जो एक आंतरिक सर्वर से एक आंतरिक नेटवर्क में एक स्व-हस्ताक्षरित प्रमाण पत्र के साथ बात करता है, लेकिन बाहरी मेजबानों के साथ भी संचार करता है, तो मैं बाहरी संचार को सत्यापित करना चाहता हूं। यह वह स्थिति होगी जहां मैं एक उपयोगकर्ता के रूप में गलती से असुरक्षित अनुरोधों के बारे में चेतावनियां देखना चाहता हूं।

विचार करें कि मैं service_foo बना रहा हूं और कोई इसे ऐप में उपयोग करता है:

import service_foo
import requests

session = service_foo.Session('https://10.0.0.1', verify=False)
data = session.get_data()
requests.put('https://example.com/submit', data=data)

मेरे पास service_foo लिए 2 विकल्प हैं:

1. मैं वैश्विक सुरक्षा चेतावनी चालू रखता हूं
   
   
   
   • जब एप्लिकेशन https://10.0.0.1 बात करता है तो उपयोगकर्ता को हमेशा एक चेतावनी मिलती है
   
   
   • https://example.com/submit का अनुरोध सुरक्षित नहीं होने पर भी उपयोगकर्ता को कभी भी चेतावनी नहीं मिलती है
   
   
2. वैश्विक सुरक्षा चेतावनी बंद करें:
   
   
   
   • https://example.com/submit का अनुरोध सुरक्षित नहीं होने पर भी उपयोगकर्ता को कभी भी चेतावनी नहीं मिलती है
   
   

मुझे नहीं लगता कि कोई भी विकल्प अच्छा है, लेकिन विकल्प 1 बदतर है, क्योंकि यह झूठा अलार्म दे रहा है। लेकिन मैं अपने मॉड्यूल का उपयोग करने के दुष्प्रभाव के रूप में उपयोगकर्ता के लिए सुरक्षा जांच बंद करने में सहज नहीं हूं।

अगर मैं इसे शेल स्क्रिप्ट के साथ करूंगा, तो उपयोगकर्ता अधिक खुश और सुरक्षित होगा:

curl --insecure -o data https://10.0.0.1/get_data
curl --upload-file data https://example.com/submit

मेरे लिए यह केवल एक चेतावनी देने के लिए समझ में आता है यदि पायथन प्लेटफॉर्म का कॉन्फ़िगरेशन टूटा हुआ है। InsecureRequestWarning संदेश में लिंक https://urllib3.readthedocs.org/en/latest/security.html पृष्ठ वास्तव में यह दिखाने के लिए तैयार है कि प्लेटफॉर्म में समस्याओं को कैसे ठीक किया जाए। उपयोगकर्ता अनुरोधों सत्यापन छोड़ने है, वहाँ एक चेतावनी नहीं होना चाहिए वहाँ एक चेतावनी नहीं है की तरह उपयोगकर्ता एक अनुरोध करता है, तो http एक के बजाय यूआरएल https एक।

जब उपयोगकर्ता स्पष्ट रूप से किसी विशेष अनुरोध के लिए सत्यापित = गलत का अनुरोध करता है, तो मुझे चेतावनी दिखाने का मूल्य नहीं दिखता है।

'उपयोगकर्ता' कौन है? आपकी पोस्ट के दौरान यह सवाल मेरे दिमाग में आता रहा, क्योंकि मेरा मानना ​​है कि आप दो दर्शकों को मिला रहे हैं।

जब मैं एक मॉड्यूल लेखक के रूप में सत्यापित = गलत सेट करता हूं, तो मैं इसे उपयोगकर्ता के अनुरोध द्वारा सेट करता हूं (या मैं दुर्भावनापूर्ण हूं)।

या आप लापरवाही कर रहे हैं। आपने उपयोगकर्ताओं से शिकायत की है कि वे अपने स्व-हस्ताक्षरित प्रमाणपत्रों के साथ इंटरऑप नहीं कर सकते हैं और इसलिए आपने प्रमाणपत्र सत्यापन बंद कर दिया है, इस तथ्य के बावजूद कि प्रमाणपत्र सत्यापन को बंद करना उस समस्या से निपटने का तरीका है।

जो उन अनुरोधों के लिए उपयोगी चेतावनी को हटा देता है, एप्लिकेशन का कोई अन्य हिस्सा अनजाने में असुरक्षित रूप से बना रहा है

यह वाक्य मुझे चकित करता है। यह सुझाव देता है कि जब कोई एप्लिकेशन _unknowingly_ असुरक्षित अनुरोध करता है, तो चेतावनी देना स्वीकार्य है, लेकिन यह कि कोई एप्लिकेशन _knowingly_ उन्हें बनाना किसी तरह ठीक है। मैं यह नहीं देखता कि जानबूझकर असुरक्षित अनुरोध करना किसी भी तरह से अनजाने में ऐसा करने की तुलना में 'अधिक सुरक्षित' माना जाना चाहिए।

साथ ही, उन अनुरोधों के लिए चेतावनी देना जहां उपयोगकर्ता द्वारा सत्यापन को स्पष्ट रूप से बंद कर दिया गया है

कौन सा उपयोगकर्ता? हम मॉड्यूल लेखक और 'उपयोगकर्ता' के बीच अंतर कैसे कर सकते हैं, चाहे वे कोई भी हों?

चेतावनी भी उपयोगकर्ता के लिए वास्तव में सहायक नहीं है, क्योंकि इसमें विशेष अनुरोध के यूआरएल का उल्लेख नहीं है।

चेतावनी में अनुरोध के URL का उल्लेख नहीं होना चाहिए, क्योंकि इससे चेतावनी स्पैम उत्पन्न होने का जोखिम होगा। हम _once_ को यह कहते हुए चेतावनी देते हैं कि 'यह एप्लिकेशन जोखिम में है', न कि 'यह विशेष संचार जोखिम में है'।

ब्राउज़र मुझे अलग-अलग यूआरएल के लिए सुरक्षा जांच को बायपास करने देते हैं लेकिन बाकी की जांच करते रहते हैं और मुझे वह पसंद है।

ब्राउज़र विक्रेता _warn_ जब आप किसी अमान्य प्रमाणपत्र वाले URL तक पहुंचते हैं! वे डायलॉग बॉक्स प्रिंट करते हैं और URL बार को लाल रंग में हाइलाइट करते हैं! यही _बिल्कुल_ हम कर रहे हैं। हम आपको कुछ भी करने से नहीं रोक रहे हैं, हम बस कह रहे हैं "अरे, यह बुरा है!" आप हमसे जो करने के लिए कह रहे हैं, वह ब्राउज़र विक्रेताओं से उपयोगकर्ताओं को विशेष URL के लिए उस लाल चेतावनी को बंद करने की अनुमति देने के समान है, और मैं गारंटी देता हूं कि वे ऐसा करने से मना कर देंगे क्योंकि सुरक्षा निहितार्थ राक्षसी हैं।

जब मेरे पास एक उपकरण है जो एक आंतरिक सर्वर से एक आंतरिक नेटवर्क में एक स्व-हस्ताक्षरित प्रमाण पत्र के साथ बात करता है, लेकिन बाहरी मेजबानों के साथ भी संचार करता है, तो मैं बाहरी संचार को सत्यापित करना चाहता हूं।

नहीं, आप संचार को _all_ सत्यापित करना चाहते हैं। स्व-हस्ताक्षरित प्रमाणपत्र सत्यापित करें! सत्यापित करें कि आपको वह प्रमाणपत्र मिला है जिसकी आपको अपेक्षा थी। verify=False को सुरक्षा के लिए एक स्लेजहैमर दृष्टिकोण माना जाना चाहिए, प्रभावी रूप से "पेंच सुरक्षा, बस इसे काम करें"। यह बिल्कुल ठीक है, आपको यह कहने का अधिकार है, लेकिन हमारा दायित्व है कि हम इसे असुरक्षित कहें।

मुझे नहीं लगता कि कोई भी विकल्प अच्छा है, लेकिन विकल्प 1 बदतर है, क्योंकि यह झूठा अलार्म दे रहा है।

विकल्प 1 झूठे अलार्म नहीं दे रहा है, यह वास्तविक अलार्म दे रहा है। 10.0.0.1 पर संचार _insecure_ है, और हमें अन्यथा दिखावा नहीं करना चाहिए।

अगर मैं इसे शेल स्क्रिप्ट के साथ करूंगा, तो उपयोगकर्ता अधिक खुश और सुरक्षित होगा।

उपयोगकर्ता अधिक खुश हो सकता है, लेकिन वे सुरक्षित नहीं होंगे। वे पहले की तरह ही सुरक्षित रहेंगे। ऐसा लगता है कि आप इस धारणा के तहत हैं कि इस चेतावनी को किसी तरह जादुई तरीके से बंद करने से प्रमाणपत्र सत्यापन बंद हो जाता है, और ऐसा नहीं है। मैं इस प्रतिक्रिया के अंत में इस पर फिर से बात करूंगा।

मेरे लिए यह केवल एक चेतावनी देने के लिए समझ में आता है यदि पायथन प्लेटफॉर्म का कॉन्फ़िगरेशन टूटा हुआ है।

नहीं, अगर पायथन प्लेटफॉर्म का कॉन्फिगरेशन टूट गया है और आपने असत्यापित अनुरोध नहीं मांगे हैं तो हमें कड़ी मेहनत करनी चाहिए। यदि आपका प्लेटफ़ॉर्म सुरक्षित टीएलएस कनेक्शन नहीं बना सकता है, तो हमें उन्हें बिल्कुल नहीं बनाना चाहिए, सिवाय उस स्थिति को छोड़कर जहां हमारा उपयोगकर्ता स्पष्ट रूप से हमें परवाह नहीं करने के लिए कहता है ( verify=False सेट करके), उस स्थिति में हमें चेतावनी देनी चाहिए कि आप क्या कर रहे हैं करना खतरनाक है।

मुझे लगता है कि आप एक गलतफहमी के तहत काम कर रहे हैं, इसलिए मैं कुछ बहुत स्पष्ट करना चाहता हूं: बिना किसी अनुरोध के एक अमान्य HTTPS अनुरोध करने का कोई तरीका नहीं है a) verify=False (हमारा चेतावनी व्यवहार) सेट करना या b) जानबूझकर ssl मॉड्यूल में तोड़फोड़ करना। हम बी को नहीं पकड़ सकते हैं) और इस पर चेतावनी नहीं देते हैं। यह एकमात्र स्थिति है जो "मंच के साथ समस्याओं" के बारे में आपके द्वारा उठाए गए विचार के अंतर्गत आती है। urllib3 के सहायता पृष्ठ पर दी गई सलाह हम पर लागू नहीं होती है क्योंकि हम प्लेटफ़ॉर्म से संबंधित सभी आवश्यक कदम उठाते हैं, जिसमें विश्वसनीय प्रमाणपत्रों को बंडल करना और प्रमाणपत्रों को मैन्युअल रूप से सत्यापित करना शामिल है।

वेब समुदाय में एक खतरनाक दृष्टिकोण है कि आपको केवल विश्वसनीय रूट प्रमाणपत्रों द्वारा हस्ताक्षरित प्रमाणपत्रों को सत्यापित करना चाहिए। यह नजरिया पूरी तरह से गुमराह करने वाला है। यदि आप स्व-हस्ताक्षरित प्रमाणपत्रों का सामना कर रहे हैं, तो आपको उन्हें अच्छी तरह से मान्य करना चाहिए। यह पूरी तरह से करने योग्य है! .pem फ़ाइल में स्व-हस्ताक्षरित प्रमाणपत्र जोड़ें और इसे तर्क के रूप में पास करें verify !

अगर आपको बंडल की गई .pem फ़ाइल के साथ इसे संयोजित करने में समस्या हो रही है, तो कृपया मुझे बताएं और मैं mkcert.org को बढ़ाऊंगा ताकि आप अपने प्रमाणपत्रों को विश्वसनीय जड़ों के साथ जोड़ सकें। लेकिन कृपया, यह दिखावा न करें कि verify=False सेटिंग सुरक्षित है: ऐसा नहीं है।

साथ ही, उन अनुरोधों के लिए चेतावनी होने पर जहां उपयोगकर्ता द्वारा सत्यापन को स्पष्ट रूप से बंद कर दिया गया है, उन अनुरोधों को भी छुपाता है जहां उपयोगकर्ता चेतावनी चाहता है, क्योंकि चेतावनी केवल एक बार दी जाती है।

ये थोड़ा चौकाने वाला भी है. verify=False सेट करके आप शायद उस अनुरोध के लिए इसे स्पष्ट रूप से बंद कर सकते हैं, लेकिन उस बिंदु से परे यह बताने का कोई तरीका नहीं है जहां हम अपना अनुरोध बनाते हैं। इसे उस बिंदु से आगे बताने का कोई कारण भी नहीं है क्योंकि आपने प्रमाणपत्र सत्यापन अक्षम कर दिया है। जिस संदर्भ में आपने ऐसा किया उसका हमारे या आपके ऐप का उपयोग करने वाले किसी व्यक्ति के लिए कोई महत्व नहीं है।

आप हमसे जो करने के लिए कह रहे हैं, वह ब्राउज़र विक्रेताओं से उपयोगकर्ताओं को विशेष URL के लिए उस लाल चेतावनी को बंद करने की अनुमति देने के समान है, और मैं गारंटी देता हूं कि वे ऐसा करने से मना कर देंगे क्योंकि सुरक्षा निहितार्थ राक्षसी हैं।

मेरे ब्राउज़र मुझे एक असत्यापित प्रमाणपत्र को स्थायी रूप से स्वीकार करने की अनुमति देते हैं, जो "राक्षसी रूप से असुरक्षित" है।

10.0.0.1 पर संचार असुरक्षित है, और हमें अन्यथा दिखावा नहीं करना चाहिए।

कनेक्शन इस तरह से असुरक्षित है कि आप किसी डिजिटल प्रमाणपत्र को सत्यापित नहीं कर सकते, लेकिन किसी प्रमाणपत्र को सत्यापित करने से वास्तव में आपको यह नहीं पता चलता है कि आप जिस सर्वर से बात कर रहे हैं वह सुरक्षित है या नहीं। लेकिन जब मैं किसी बंद नेटवर्क में सर्वर से बात कर रहा हूं तो मैं वास्तव में सर्वर की सुरक्षा सुनिश्चित कर सकता हूं।

मुझे लगता है कि आप एक गलतफहमी के तहत श्रम कर रहे हैं, इसलिए मैं कुछ बहुत स्पष्ट करना चाहता हूं: बिना किसी अनुरोध के एक अमान्य HTTPS अनुरोध करने का कोई तरीका नहीं है a) सेटिंग सत्यापित करें = गलत (हमारा चेतावनी व्यवहार) या बी) जानबूझकर ssl . को तोड़फोड़ करना

मैं आश्चर्य करने की कोशिश कर रहा हूं कि मैं अपने मॉड्यूल में एक अच्छा नागरिक कैसे बन सकता हूं, उपयोगकर्ता की इच्छा का सम्मान करके प्रमाण पत्र जांच और यूआरएल के लिए चेतावनियां जो वे मुझे देते हैं। और चेतावनी मॉडल क्या मूल्य जोड़ता है। क्या मामला है जहां verify=False साथ अनुरोध उपयोगकर्ता को चेतावनी दिखाना चाहिए?

मैं नहीं देखता कि चेतावनी तंत्र लापरवाह कोड को कैसे पकड़ सकता है, क्योंकि यह अंतर नहीं कर सकता है कि मैला कोडिंग के कारण अनुरोध किया गया है या उपयोगकर्ता ने ऐसा अनुरोध किया है। मुझे नहीं लगता कि requests जैसे मॉड्यूल को सुरक्षा नीति भी तय करनी चाहिए। मैंने समझा है कि चेतावनियां आमतौर पर डेवलपर्स के लिए लक्षित होती हैं ताकि वे गलत कोड को ठीक कर सकें, लेकिन यह चेतावनी ऐसी नहीं है। यदि चेतावनी केवल उपयोगकर्ता की सामान्य शिक्षा के लिए है, तो उपयोगकर्ता के लिए इसे छिपाने का एक आसान तरीका होना चाहिए।

चेतावनी प्राप्त करना न केवल कॉस्मेटिक है, क्योंकि यह किसी प्रोग्राम के आउटपुट को खराब करता है।

मुझे केवल चेतावनी का नकारात्मक मूल्य दिखाई देता है, इसलिए मैं इसे अपने मॉड्यूल में बंद कर रहा हूं, भले ही मुझे इस तरह के वैश्विक नीति परिवर्तन को छिपाने से नफरत हो।

वेब समुदाय में एक खतरनाक दृष्टिकोण है कि आपको केवल विश्वसनीय रूट प्रमाणपत्रों द्वारा हस्ताक्षरित प्रमाणपत्रों को सत्यापित करना चाहिए। यह नजरिया पूरी तरह से गुमराह करने वाला है।

नहीं पता था कि ऐसा नजारा है। रूट प्रमाणपत्र द्वारा हस्ताक्षरित प्रमाणपत्र वास्तव में साइट की सुरक्षा के बारे में कुछ भी साबित नहीं करता है। यदि आप बुरे काम करना चाहते हैं तो अनाम प्रमाणपत्र प्राप्त करना सस्ता है।

यदि आप स्व-हस्ताक्षरित प्रमाणपत्रों का सामना कर रहे हैं, तो आपको उन्हें अच्छी तरह से मान्य करना चाहिए। यह पूरी तरह से करने योग्य है! स्व-हस्ताक्षरित प्रमाणपत्र को .pem फ़ाइल में जोड़ें और इसे सत्यापित करने के लिए तर्क के रूप में पास करें!

एक आंतरिक विश्वसनीय नेटवर्क की तरह, उपयोगकर्ता को प्रमाणपत्र प्राप्त करने के लिए एक सुरक्षित चैनल की आवश्यकता होगी। लेकिन अगर सर्वर उसी आंतरिक नेटवर्क में है, तो बहुत कुछ हासिल नहीं हुआ है। लेकिन यह किसी भी मामले में उपयोगकर्ता द्वारा तय किया गया है, मैं अपने मॉड्यूल में नीति नहीं लगा सकता।

मैं अधिकांश भाग के लिए @kankri से सहमत हूं। वह मूल डिजाइन इरादा था।

मैं कुछ प्रस्तावित करता हूं - कि हम डिफ़ॉल्ट रूप से अक्षम करते हैं लेकिन इसे फिर से सक्षम करने के लिए या इसे चालू करने के तरीके को दस्तावेज करने के लिए हमारा अपना कार्य है। मैं नहीं चाहता कि उपयोगकर्ताओं को कोड का उपयोग करने के लिए रास्ते से बाहर जाना पड़े। verify=False एक विशेषता है, हालांकि यह सर्वोत्तम अभ्यास नहीं है। यह हमारा काम नहीं है।

मैं सहमत हूं कि verify=False एक विशेषता है, लेकिन मैं इस बात से सहमत नहीं हूं कि यह params= या cert= के समान स्तर पर एक विशेषता है। यह एक ऐसी सुविधा है जो डिफ़ॉल्ट रूप से एक सुरक्षित मान पर सेट हो जाती है और इसे असुरक्षित मान पर सेट किया जा सकता है। यह लोगों के लिए सुरक्षा के लिए खिड़की से बाहर फेंकने का एक विशाल, आकर्षक विकल्प है, और मुझे लगता है कि आवेग का विरोध किया जाना चाहिए (लेकिन अस्वीकृत नहीं)। मैं हमेशा 'आपको स्पष्ट रूप से असुरक्षित होना चाहिए' विचार के स्कूल की ओर झुकना होगा, और मुझे परवाह नहीं है कि इसका मतलब दो स्विच फ़्लिप करना है और एक नहीं।

फिर भी, यह तुम्हारी पुकार है मेरी नहीं। =)

बस इतना कहना चाहता हूं कि मैं @kankri और उस @kennethreitz की टिप्पणी से सहमत हूं

Verify=False एक विशेषता है, हालांकि यह सर्वोत्तम अभ्यास नहीं है। यह हमारा काम नहीं है।

इसे अच्छी तरह से सारांशित करता है।

उन लोगों के लिए जो चेतावनियों को अक्षम करना चाहते हैं, यह कैसे करना है। आपको चेतावनी मॉड्यूल का उपयोग करने की आवश्यकता है, जो मानक पुस्तकालय का हिस्सा है:

import warnings
import requests
from requests.packages.urllib3 import exceptions

with warnings.catch_warnings():
    warnings.simplefilter("ignore", exceptions.InsecureRequestWarning)
    warnings.warn('a non-requests warning is not blocked')
    print requests.get('https://rsa-md5.ssl.hboeck.de/', verify=False)

यह एक चेतावनी फ़िल्टर कॉन्फ़िगर करता है जो InsecureRequestWarning श्रेणी की किसी भी चेतावनी को अनदेखा कर देगा। आउटपुट जैसा दिखता है:

test.py:46: UserWarning: a non-requests warning
  warnings.warn('a non-requests warning is not blocked')
<Response [403]>

(परीक्षण साइट 403 निषिद्ध पृष्ठ लौटाती है, लेकिन यह यहां महत्वपूर्ण नहीं है।)

ध्यान दें कि आपको बंडल urllib3 गए urllib3 पैकेज से वर्ग का, यदि आपने एक स्थापित किया है।

आप (और शायद चाहिए) एक छोटा सा कार्य कर सकते हैं जो कोड के सबसे छोटे संभव क्षेत्र में संदर्भ प्रबंधक का उपयोग करता है:

def silent_unverified_get(*args, **kwargs):
    kwargs['verify'] = False
    with warnings.catch_warnings():
        warnings.simplefilter("ignore", exceptions.InsecureRequestWarning)
        return requests.get(*args, **kwargs)

या बस यह करें:

requests.packages.urllib3.disable_warnings()

@लुकासा

या बस यह करें:

requests.packages.urllib3.disable_warnings()

सिवाय इसके कि मुझे अनुरोध मैनुअल में इस फ़ंक्शन का कोई उल्लेख नहीं मिलता है।

हालांकि यह हर उस व्यक्ति से दूर है जो इसके बारे में जानता है, मैं तर्क दूंगा कि warnings मॉड्यूल _is_ मानक उपकरण एक पायथन प्रोग्रामर को देखना चाहिए जब वह चेतावनियों को अक्षम करना चाहता है। यह मानक पुस्तकालय का हिस्सा है और अच्छी तरह से प्रलेखित है।

मेरा सुझाव है कि warnings संदर्भ requests दस्तावेज़ में डालें - या यदि आप चाहें तो सुविधा disable_warnings फ़ंक्शन के लिए, जब तक कि संबंधित enable_warnings फ़ंक्शन (ऐसा लगता है कि ऐसा कोई फ़ंक्शन नहीं है )।

एक बार फिर: मैं सामान्य रूप से चेतावनियों को अक्षम नहीं करना चाहता। मैं चाहता हूं कि जब मैं _explicitly_ अपने कोड में सत्यापित = गलत सेट करूं तो यह विशेष चेतावनी दूर हो जाए। इस विशेष, बेकार, चेतावनी के विपरीत अन्य, उपयोगी, चेतावनियां हो सकती हैं। इसके बारे में समझना इतना मुश्किल क्या है ?!

@zaitcev खुद को दोहराने के जोखिम पर:

requests.packages.urllib3.disable_warnings()

और अगर वह भी आपके लिए बहुत व्यापक है:

from requests.packages.urllib3.exceptions import InsecureRequestWarning

requests.packages.urllib3.disable_warnings(InsecureRequestWarning)

अंत में, एक नोट, @zaitcev : आप पाएंगे कि उत्तेजित स्वर लेने से आपने अभी तक जीत हासिल नहीं की है। याद रखें कि हम सभी स्वयंसेवक हैं, और आपके पास चीजों को बनाने के लिए देने के लिए हमारे पास सीमित समय है। कृपया हमारे साथ वैसा ही व्यवहार करने का प्रयास करें जैसा आप चाहते हैं कि आपके साथ व्यवहार किया जाए।

@zaitcev ऐसा नहीं लगता है कि यह अनुरोध मॉड्यूल में ही बदल जाएगा, लेकिन मुझे आशा है कि आप मेरी दूसरी टिप्पणी में डाले गए कोड का उपयोग कर सकते हैं। इससे आपको urllib3 द्वारा उत्सर्जित चेतावनियों को चुनिंदा रूप से अक्षम करने की अनुमति मिलनी चाहिए।

आप इसे इसके साथ दबा भी सकते हैं:

with warnings.catch_warnings():
  warnings.filterwarnings("ignore", message=".*InsecurePlatformWarning.*")
  ...

मेरे मामले में, मैं सीधे अनुरोधों का उपयोग नहीं कर रहा हूं, इसलिए इस तरह दबाने से मुझे बाद में टूटने की चिंता थोड़ी कम हो जाती है।

@zaitcev पिछले सभी सुझावों को एक साथ

verify = False
if not verify:
    from requests.packages.urllib3.exceptions import InsecureRequestWarning
    requests.packages.urllib3.disable_warnings(InsecureRequestWarning)
r = requests.get('https://www.example.com', verify=verify)

@utkonos जो बाद के सभी अनुरोधों के लिए चेतावनियों को अक्षम कर देगा।

अन्य उदाहरणों को एक साथ रखते हुए, मैंने डिफ़ॉल्ट Session (जैसा कि requests.get और अन्य शॉर्टकट अस्थायी Session बनाते हैं, वैसे भी) बढ़ाया:

from requests.packages.urllib3 import exceptions

class Session(requests.sessions.Session):

    def request(self, *args, **kwargs):
        if not kwargs.get('verify', self.verify):
            with warnings.catch_warnings():
                warnings.simplefilter('ignore', exceptions.InsecurePlatformWarning)
                warnings.simplefilter('ignore', exceptions.InsecureRequestWarning)
                return super(Session, self).request(*args, **kwargs)
        else:
            return super(Session, self).request(*args, **kwargs)

requests से सभी चेतावनियों को अक्षम करना संभवतः एक बुरा विचार है, थोड़ा बेहतर हो सकता है:

import requests
from requests.packages.urllib3.exceptions import InsecureRequestWarning
requests.packages.urllib3.disable_warnings(InsecureRequestWarning)

संक्षेप में मैंने इसे कैसे संभाला:

import warnings
with warnings.catch_warnings():
    warnings.simplefilter("error") 
    try:
        req = requests.get("https://an-insecure-server.com")
    except (RuntimeWarning, requests.exceptions.SSLError)::
        log.error("Making an insecure request")
        warnings.simplefilter("ignore")
        req = requests.get("https://an-insecure-server.com")

यह मुझे यह जांचने की अनुमति देता है कि कोई अनुरोध असुरक्षित है या नहीं, urllib चेतावनी छुपाएं और उपयोगकर्ता के लिए अपने स्वरूपण की चेतावनी बढ़ाएं। यह आवश्यक है कि अनुरोध दो बार किया जाए। अपवाद खंड को कम व्यापक बनाने के लिए संपादित किया गया।

except Exception: बहुत व्यापक है। आप वास्तव में ऐसा नहीं चाहते हैं।

उपर्युक्त इस चर्चा के दोनों पक्षों की चिंताओं को दूर करने का एक तरीका है।

क्या यह अपवाद के कुछ उपवर्ग को नहीं फेंकता है जिसे आप इसके बजाय पकड़ सकते हैं?

या logging.captureWarnings()

विकल्प यह जानना है कि urllib3 शामिल है और इसके नामस्थान को हार्डकोड करें, tuukkamustonen द्वारा टिप्पणी देखें। यह मेरी मुख्य आपत्ति थी: वे इसे ठीक से काम कर सकते थे, मैंने पुल अनुरोध में एक पैच भी प्रदान किया था। लेकिन वे इनकार कर रहे हैं कि समस्या मौजूद है और सभी उपयोगकर्ताओं को "अपवाद को छोड़कर" या "request.packages.urllib3 आयात अपवादों से" जैसे भयानक कामकाज के साथ आने के लिए कहें। इस बिंदु पर किसी को स्वीकार करना होगा कि वे हमेशा गलत थे और इसलिए हम फंस गए हैं।

यह मेरी मुख्य आपत्ति थी: वे इसे ठीक से काम कर सकते थे, मैंने पुल अनुरोध में एक पैच भी प्रदान किया था। लेकिन वे इनकार कर रहे हैं कि समस्या मौजूद है और सभी उपयोगकर्ताओं को "अपवाद को छोड़कर" या "request.packages.urllib3 आयात अपवादों से" जैसे भयानक कामकाज के साथ आने के लिए कहें। इस बिंदु पर किसी को स्वीकार करना होगा कि वे हमेशा गलत थे और इसलिए हम फंस गए हैं।

@zaitcev एक बार फिर, मैं आपको याद दिला दूं कि यह एक स्वयंसेवी समुदाय है जो सबसे अच्छा कर सकता है। हमने इस मुद्दे को चर्चा के लिए स्वतंत्र छोड़ दिया है, हमने इसे बंद करने या आगे की चर्चा को रोकने का प्रयास नहीं किया है। हम _आपकी सुन रहे हैं_। हम जो नहीं कर रहे हैं वह स्थिति के आपके आकलन से तुरंत सहमत होना है। कृपया इस संभावना पर विचार करें कि हम केवल आपकी तुलना में अधिक उपयोग के मामलों की परवाह करते हैं, और हमें उन सभी की जरूरतों को संतुलित करने की आवश्यकता है।

आपके पुल अनुरोध के अनुसार, इसे एक _बहुत विशिष्ट कारण_ के लिए अस्वीकार कर दिया गया था जिसे आप लगातार अनदेखा कर रहे हैं! मैं खुद को इयान के हवाले से उद्धृत करता हूं :

समापन वक्तव्य था: "यह देखते हुए कि यह ज्यादातर urllib3 में है और वहां स्वीकृति पर निर्भर करेगा, मैं इसे तब तक बंद कर रहा हूं जब तक वहां प्रगति नहीं हो जाती। " (जोर मेरा।)

आज तक मुझे urllib3 में इस समस्या के लिए कोई संबद्ध पुल अनुरोध या समस्या दिखाई नहीं दे रही है। इस परियोजना से कोई भी आपके रास्ते में नहीं आया है या इस काम को होने से नहीं रोका है, हमने इसे स्वयं करने के लिए नहीं चुना है क्योंकि _हम वर्तमान में आपसे सहमत नहीं हैं_।

हालाँकि, इस खरगोश के छेद के फिर से नीचे जाने के जोखिम पर, मुझे दोहराना चाहिए:

यह मेरी मुख्य आपत्ति थी: वे इसे ठीक कर सकते थे।

मुझे विश्वास नहीं है कि आपका पैच इस काम को "सही" बनाता है । जैसा कि मैंने इस सूत्र में कई बार कहा है, मैं वर्तमान व्यवहार को वांछनीय मानता हूं। असुरक्षित टीएलएस अनुरोध करना एक बुरा विचार है, और उपयोगकर्ताओं को ऐसा करने के खिलाफ चेतावनी दी जानी चाहिए।

मेरी स्थिति यह है कि एक उपयोगकर्ता _जानने के योग्य है_ जब वे एक टीएलएस अनुरोध कर रहे हैं जो पर्याप्त रूप से सुरक्षित नहीं है, विशेष रूप से किसी भी सिस्टम में जो उनके पासवर्ड को संभाल रहा है।

इस थ्रेड में सहमति है कि हमें इन चेतावनियों को अक्षम करने के लिए अनुरोध-स्तर हुक रखने पर विचार करना चाहिए। दूसरी ओर, वर्तमान में कोई नहीं, लेकिन आप मानते हैं कि इन चेतावनियों को परोक्ष रूप से चुप कराने के लिए verify=False और verify=None बीच कुछ पूर्व-अस्तित्वहीन अंतर जोड़ा जाना चाहिए। आपको बाद वाले की तुलना में पूर्व को करना बहुत आसान लगेगा।

+1 सत्यापन के बीच अंतर नहीं करने के लिए = गलत और सत्यापित करें = कोई नहीं। मैं या तो समर्थन करूंगा:

• एक नया पैरामीटर जोड़ना (कहते हैं, noInsecureWarnings), या
• अनुरोधों को urllib3 चेतावनी को रोकना और स्वयं में से एक जारी करना, इसलिए (ए) मैं 'requests.packages.urllib3.exceptions.InsecureRequestWarning' से कम डरावना कुछ दबा सकता हूं (जो पहले से ही अनुरोध-विशिष्ट है, लेकिन अनुरोध माइग्रेट होने पर टूट जाएगा एक अलग अंतर्निहित पुस्तकालय के लिए), और (बी) चेतावनी एक अनुरोध-विशिष्ट यूआरएल को इंगित कर सकती है (वर्तमान यूआरएल प्रासंगिक नहीं है क्योंकि चेतावनी को छायांकित किया गया है!)

और सभी स्वयंसेवकों को समर्थन अनुरोधों के लिए धन्यवाद, चाहे यह ठीक हो जाए या नहीं: यह एक महान पुस्तकालय है :)

यह एक अद्भुत पुस्तकालय है, आपकी कड़ी मेहनत के लिए धन्यवाद।

मैं हाल ही में अपने अजगर पैकेजों को अपग्रेड करने और कई नए InsecurePlatformWarning प्रिंटआउट को नोटिस करने के बाद इस मुद्दे पर आया हूं। इसलिए मैं अपने उपयोग के मामले में योगदान दे रहा हूं, जो मुझे लगता है कि सम्मोहक है।

मैं 4 अलग-अलग वातावरणों में जेनकींस सर्वरों को प्रबंधित करने के अनुरोधों का उपयोग कर रहा हूं। तीन परिवेशों (देव, मंचन, उत्पादन) के पास सभी के पास मान्य प्रमाणपत्र हैं। चौथा वातावरण एक आवारा आभासी बॉक्स है, जिसका उपयोग डेवलपर्स अपनी स्थानीय मशीनों पर परिवर्तनों का परीक्षण करने के लिए कर सकते हैं। इसका कोई मान्य प्रमाणपत्र नहीं है, लेकिन नीति के मामले में, सभी सर्वर कॉन्फ़िगरेशन अनएन्क्रिप्टेड अनुरोधों को अस्वीकार करते हैं।

पर्यावरण के लिए जेनकींस कनेक्शन सेटिंग्स (सर्वर नाम, टोकन, आदि) में एसएसएल सत्यापन को बंद करने के लिए एक विशिष्ट ध्वज शामिल है, जो केवल आवारा वातावरण के लिए सही पर सेट है।

मेरे सेटअप में, विश्व स्तर पर चेतावनी को अक्षम करना एक बुरा विचार होगा क्योंकि परियोजना बड़ी है और अनुरोध पुस्तकालय के साथ या उसके बिना बहुत सारे अनुरोध किए जा सकते हैं। दायरे में चेतावनी को अक्षम करना ठीक रहेगा, परियोजना के हिस्से को छोड़कर एक फ्लास्क एप्लिकेशन और अन्य संभावित रूप से बहु-थ्रेडेड मामले शामिल हैं।

मेरी राय में, ऐसा लगता है कि Verify=False के उपयोग का समर्थन किया जाना चाहिए और चेतावनियों के बिना अपेक्षित रूप से काम करना चाहिए। यह एप्लिकेशन डेवलपर पर निर्भर है कि वह कब और कब इसकी अनुमति दी जाए। उदाहरण के लिए, यदि मैं सामान्य उपयोग के लिए एक ब्राउज़र लिख रहा था, तो मैं बहुत सारे लाल पाठ के साथ एक बड़ा पुष्टिकरण संवाद प्रदर्शित किए बिना इसे कभी भी सही पर सेट नहीं करता। लेकिन अगर मैं सर्वर और क्लाइंट का मालिक हूं और प्रमाण पत्र जारी न करने के मेरे अपने कारण हैं, तो मुझे एक साफ लॉग रखने और अन्य संभावित मुद्दों को छिपाने में सक्षम होना चाहिए।

यह एप्लिकेशन डेवलपर पर निर्भर है कि वह कब और कब इसकी अनुमति दी जाए।

यह विवाद वह जगह है जहाँ मैं आपसे भिन्न हूँ। मेरा मानना ​​​​है कि यह डेवलपर पर निर्भर है कि वे इसका उपयोग कब करें। लेकिन मेरा मानना ​​है कि यह तय करना _user_ पर निर्भर है कि वह विकल्प स्वीकार्य है या नहीं। यह _महत्वपूर्ण_ है कि उपयोगकर्ता समझते हैं कि जब उन्हें डेवलपर विकल्पों द्वारा जोखिम में डाला जा रहा है, और वे उस जोखिम का मूल्यांकन करने में सक्षम हैं।

लेकिन अगर मैं सर्वर और क्लाइंट का मालिक हूं और प्रमाण पत्र जारी न करने के मेरे अपने कारण हैं, तो मुझे एक साफ लॉग रखने और अन्य संभावित मुद्दों को छिपाने में सक्षम होना चाहिए।

और आप चेतावनी को कैप्चर करने के लिए लॉगिंग संदर्भ प्रबंधक का उपयोग करके ऐसा कर सकते हैं। हम अनुरोधों को इस चेतावनी को अनुरोधों के लिए अधिक विशिष्ट बनाने पर भी विचार कर रहे हैं ताकि इसे पकड़ना आसान हो, लेकिन अभी तक ऐसा नहीं हुआ है।

मेरे पास @ जेमी-स्पार्क जैसी स्थिति है।

मैं सुरक्षा लागू करने पर लुकासा की बात समझता हूं, लेकिन मुझे लगता है कि आपको अपने उपयोगकर्ता को यह तय करने देना चाहिए कि उनके लिए सबसे अच्छा क्या है।
अनुरोध एक पुस्तकालय है, अंतिम उपयोगकर्ता अनुप्रयोग नहीं। आईएमओ आपको डेवलपर्स को अपने उपयोगकर्ता के रूप में मानना ​​​​चाहिए।
एप्लिकेशन डेवलपर्स को सुरक्षा गलतियों के लिए उत्तरदायी होना चाहिए, यदि वे प्रमाणपत्र सत्यापन को बंद करने का निर्णय लेते हैं (अर्थात सत्यापित करें = गलत)

डेवलपर के रूप में, मैं एक पुस्तकालय पर लचीलेपन को महत्व देता हूं जो यह निर्धारित करने की कोशिश कर रहा है कि मुझे क्या करना चाहिए।

बीटीडब्ल्यू जैसा कि अन्य ने कहा, मुझे अनुरोध _उत्कृष्ट_ मिलते हैं और मैं आपके सभी प्रयासों की सराहना करता हूं। धन्यवाद।

@thalesac हम _do_ डेवलपर्स को निर्णय लेने दें। जैसा कि इस सूत्र में कई बार चर्चा की गई है, इस चेतावनी को बंद करना काफी संभव है। हालांकि, हमारे पास एक स्विच नहीं है जो सभी चेतावनियों को बंद कर देता है: आपको प्रत्येक को मैन्युअल रूप से करने की आवश्यकता है। यह हमारे उपयोगकर्ताओं को प्रत्येक सुरक्षा गार्ड को _चेतन रूप से हटाने का एक प्रयास है।

इसे रक्षा-में-गहराई के रूप में सोचें। एक फ़ुटगन सादृश्य का उपयोग करने के लिए, हम आपको एक बंदूक सौंप रहे हैं जिसमें सुरक्षा है और उसमें कोई गोलियां नहीं हैं, और एक पत्रिका है। अगर हमारे पास verify=False सभी चेतावनियों को अक्षम कर दिया गया था, तो यह एक बंदूक रखने के बराबर होगा, जब एक पत्रिका डाली गई थी, स्वचालित रूप से सुरक्षा को अक्षम कर दिया और एक राउंड को चैम्बर किया। सुविधाजनक? ज़रूर। खतरनाक? बिलकुल।

मुझे डर है, मैं आपके सादृश्य मॉडल से असहमत हूं।
मैं कहूंगा कि सत्यापित करें = गलत आपकी सुरक्षा/सुरक्षा तंत्र है। यदि आपने इसे स्पष्ट रूप से (या मैन्युअल रूप से) अक्षम कर दिया है, तो आप नहीं चाहते कि बंदूक आपको हर समय चेतावनी दे जब आप बुरे लोगों को गोली मार रहे हों। जाहिर है डिफ़ॉल्ट व्यवहार को सुरक्षा विचार लागू करना चाहिए।
वैसे भी, मैं समझता हूं कि यह सिर्फ मेरा विचार है और आपको वही करना चाहिए जो आपको लगता है कि आपके प्रोजेक्ट के लिए सबसे अच्छा है। शायद इसीलिए यह एक अच्छी लाइब्रेरी है। :)
धन्यवाद

मैं निश्चित रूप से लुकासा से सहमत हूं, सुरक्षा इसकी पहली है और यदि एक डेवलपर के रूप में मैं अपने कोड के एक हिस्से में सत्यापन = गलत का उपयोग कर रहा हूं तो मुझे चेतावनी को दबा देना चाहिए, अगर मैं चेतावनी नहीं देना चाहता हूं।

वैसे भी उत्कृष्ट पुस्तकालय आपकी टीम के बहुत बड़े प्रशंसक काम करते हैं, इसे बनाए रखें, धैर्य के लिए +10000 हमें जवाब दें।

जिस तरह से मैं इसे देखता हूं, यदि कोई एप्लिकेशन किसी उपयोगकर्ता द्वारा यूआरएल सेट का उपयोग कर रहा है तो उपयोगकर्ता को सत्यापन अक्षम करने का विकल्प प्रदान किया जाना चाहिए लेकिन हर स्थिति में मैं सोच सकता हूं कि उन्हें चेतावनी मिलनी चाहिए। यदि एक डेवलपर के रूप में और आप जानते हैं कि किस कारण से आप किसी ऐसे यूआरएल से जुड़ रहे हैं जिसके पास वैध प्रमाणपत्र होने की उम्मीद नहीं है (आंतरिक सेवाएं जिन्हें आप प्रमाण पत्र, परीक्षण आदि के लिए भुगतान नहीं करेंगे) तो आपके पास अक्षम करने का विकल्प होना चाहिए सत्यापन को अक्षम करने के साथ-साथ चेतावनियाँ।

साथ ही मुझे नहीं लगता कि ऐसी स्थिति होना आम बात होगी जहां आप वैश्विक स्तर पर चेतावनियों को एक बार में अक्षम करना चाहेंगे क्योंकि इससे सुरक्षा मुद्दों को खोलना बहुत आसान हो जाता है जिन्हें चुपचाप अनदेखा कर दिया जाता है।

requests.packages.urllib3.disable_warnings() हाँ यह काम है

नमस्ते

क्या requests.packages.urllib3.disable_warnings() अब काम नहीं कर रहा है? यह मेरे लिए चेतावनियों को चुप करा देता था। यहां मैं अक्षम चेतावनियां फ़ंक्शन को कॉल कर रहा हूं, और यहां एक उदाहरण बैकट्रैक है जहां चेतावनी फ़ंक्शन कहा जाता है:

 [+] स्वीकृत रीडायरेक्ट https://drupal.org/ पर
 > /usr/lib/python2.7/dist-packages/urllib3/connectionpool.py(791)_validate_conn()
 -> चेतावनियाँ। चेतावनी ((
 (पीडीबी) बीटी
 /रूट/ड्रोप्सकैन/ड्रोप्सकैन(5)()
 -> droopescan.main()
 /root/droopescan/dscan/droopescan.py(55)main()
 -> डीएस.रन ()
 /usr/local/lib/python2.7/dist-packages/cement/core/foundation.py(764)run()
 -> स्व.नियंत्रक._डिस्पैच ()
 /usr/local/lib/python2.7/dist-packages/cement/core/controller.py(466)_dispatch()
 -> रिटर्न फंक ()
 /usr/local/lib/python2.7/dist-packages/cement/core/controller.py(472)_dispatch()
 -> रिटर्न फंक ()
 /root/droopescan/dscan/plugins/internal/scan.py(114)default()
 -> follow_redirects)
 /root/droopescan/dscan/plugins/internal/scan.py(230)_process_cms_identify()
 -> अगर inst.cms_identify(url, opts['timeout'], self._generate_headers(host_header)) == सच:
 /root/droopescan/dscan/plugins/internal/base_plugin_internal.py(910)cms_identify()
 -> हेडर)
 /root/droopescan/dscan/plugins/internal/base_plugin_internal.py(827)enumerate_file_hash()
 -> r = self.session.get(url + file_url, टाइमआउट = टाइमआउट, हेडर = हेडर)
 /usr/lib/python2.7/dist-packages/requests/sessions.py(480)get()
 -> स्वयं लौटाएं। अनुरोध ('प्राप्त करें', यूआरएल, **kwargs)
 /usr/lib/python2.7/dist-packages/requests/sessions.py(468)request()
 -> सम्मान = स्वयं भेजें (प्रस्तुत करने का, **send_kwargs)
 /usr/lib/python2.7/dist-packages/requests/sessions.py(576)भेजें ()
 -> r = एडेप्टर। भेजें (अनुरोध, **kwargs)
 /usr/lib/python2.7/dist-packages/requests/adapters.py(376)send()
 -> टाइमआउट = टाइमआउट
 /usr/lib/python2.7/dist-packages/urllib3/connectionpool.py(559)urlopen()
 -> बॉडी = बॉडी, हेडर = हेडर)
 /usr/lib/python2.7/dist-packages/urllib3/connectionpool.py(345)_make_request()
 -> स्व._वैलिडेट_कॉन (कॉन)
 > /usr/lib/python2.7/dist-packages/urllib3/connectionpool.py(791)_validate_conn()
 -> चेतावनियाँ। चेतावनी ((

निम्नलिखित का आउटपुट है pip freeze , मैं डेबियन परीक्षण का उपयोग कर रहा हूं:

 argparse==1.2.1
 सुंदरसूप4==4.4.1
 सीमेंट == 2.6.2
 चारडेट == 2.3.0
 रंगामा == 0.33
 कवरेज==4.0.3
 क्रिप्टोग्राफी == 1.2.1
 distlib==0.2.1
 -ई [email protected]:drope/droopescan.git@6524a9235e89a6fdb3ef304ee8dc4cb73eca0386#egg=dropescan-Development
 enum34==1.1.2
 funcsigs==0.4
 वायदा==3.0.4
 html5lib==0.999
 httplib2==0.9.1
 आईडीना == 2.0
 आईपैडड्रेस==1.0.16
 एलएक्सएमएल==3.5.0
 पारा==3.5.2
 नकली == 1.3.0
 ndg-httpsclient==0.4.0
 नाक == 1.3.7
 पीबीआर == 1.8.1
 pyOpenSSL==0.15.1
 pyasn1==0.1.9
 pycurl==7.21.5
 पिस्ता == 0.5.4
 अजगर-उपयुक्त == 1.1.0b1
 अजगर-डेबियन ==0.1.27
 अजगर-डेबियनबीटीएस==2.6.0
 रिपोर्टबग == 6.6.6
 अनुरोध==2.9.1
 प्रतिक्रियाएं == 0.3.0
 पुन: प्रयास == 1.3.3
 छह == 1.10.0
 urllib3==1.13.1
 पहिया == 0.26.0
 wsgiref==0.1.2

धन्यवाद,
पेड्रो

disable_warnings चेतावनी फ़ंक्शन को कॉल किए जाने से नहीं रोकता है, यह केवल आउटपुट को दबा देता है। यदि कोई अन्य बिट कोड सभी चेतावनियों को सक्षम करता है तो आपको समस्याएँ आ सकती हैं।

हाय @ लुकासा ,

मैंने ब्रेकपॉइंट को if के बाद रखा है। अंत में मैंने डेबियन परीक्षण का उपयोग करना बंद कर दिया क्योंकि मुझे बहुत सारे मुद्दे आए, और यह उनमें से एक हो सकता है। मैं बस अपनी टिप्पणी को नजरअंदाज कर दूंगा, मुझे यकीन नहीं है कि क्या हुआ लेकिन यह ऐसा कुछ नहीं है जो बहुत से लोगों को प्रभावित करेगा।

धन्यवाद!
पेद्रो

हाँ, इसलिए यदि आप डेबियन से पैकेज का उपयोग कर रहे थे तो संभव है कि उनके अपरिवर्तनीय तर्क ने यहां कुछ तोड़ दिया।

verify=False निर्दिष्ट करके एक असुरक्षित अनुरोध करना चाहते हैं और उस अनुरोध के लिए चेतावनी नहीं देखना चाहते हैं, कहीं और किए गए किसी भी अन्य अनुरोध के लिए चेतावनियों में हस्तक्षेप किए बिना पूरी तरह से उचित लगता है।

from requests.packages.urllib3.exceptions import InsecureRequestWarning

...
with warnings.catch_warnings():
    warnings.filterwarnings("ignore", category=InsecureRequestWarning)
    resp = requests.get(url, verify=False)  # InsecureRequestWarning suppressed for this request

resp = requests.get(url, verify=False)  # InsecureRequestWarning not suppressed for this request
...