[Code]User Model 中 AuthCode 是用來作令牌的嗎？

[Ted Yin]

如題。

--
--- This information is automatically generated ---

The *attached* file named 'signature.asc' is used for
*verification* of the content above. If you haven't
got a public key, please contact me to acquire one.

ted.sybil aka. ymfoi aka. Ted Yin

[jiakai]

On 2012年02月09日 星期四 19时08分45秒, Ted Yin wrote:
> 如題。
>

对啊。。。也可以叫token神马的。。。

--
贾开
清华大学计算机系 计14班
Kai Jia
Department of Computer Science & Technology
Tsinghua University

[Ted Yin]

On Thu 09 Feb 2012 07:10:16 PM CST, jiakai wrote:
> On 2012年02月09日 星期四 19时08分45秒, Ted Yin wrote:
>> 如題。
>>
>
> 对啊。。。也可以叫token神马的。。。
>

我剛纔問了下google，token是不是一般就是拿來防Cross-site request forgery的？除此之外還有其他用途嗎？

[jiakai]

On 2012年02月09日 星期四 19时26分24秒, Ted Yin wrote:
> On Thu 09 Feb 2012 07:10:16 PM CST, jiakai wrote:
>> On 2012年02月09日 星期四 19时08分45秒, Ted Yin wrote:
>>> 如題。
>>>
>>
>> 对啊。。。也可以叫token神马的。。。
>>
>
> 我剛纔問了下google，token是不是一般就是拿來防Cross-site request forgery的？除此之外還有其他用途嗎？
>

目前没用这个来防CSRF，要防止也应该不是在model的层面上吧。。。这个类似于Session
token（http://en.wikipedia.org/wiki/Session_token），只是用来标志用户登陆了而已。。。

[Ted Yin]

On Thu 09 Feb 2012 07:35:06 PM CST, jiakai wrote:
> On 2012年02月09日 星期四 19时26分24秒, Ted Yin wrote:
>> On Thu 09 Feb 2012 07:10:16 PM CST, jiakai wrote:
>>> On 2012年02月09日 星期四 19时08分45秒, Ted Yin wrote:
>>>> 如題。
>>>>
>>>
>>> 对啊。。。也可以叫token神马的。。。
>>>
>>
>> 我剛纔問了下google，token是不是一般就是拿來防Cross-site request forgery的？除此之外還有其他用途嗎？
>>
>
> 目前没用这个来防CSRF，要防止也应该不是在model的层面上吧。。。这个类似于Session
> token（http://en.wikipedia.org/wiki/Session_token），只是用来标志用户登陆了而已。。。
>

額。。pyramid似乎有自帶的Session系統。
Model有了CSRF才方便生成HTML時放在表單裏面傳給用戶啊。
順便諮詢一下，Session是不是一般通過Cookie來驗證的？

[Xiaoyu Liu]

至少我瞭解的是＝W＝

Xiaoyu Liu
Tsinghua University
vur...@gmail.com
www.vuryleo.com

[jiakai]

On 2012年02月09日 19:49, Ted Yin wrote:
> On Thu 09 Feb 2012 07:35:06 PM CST, jiakai wrote:
>> On 2012年02月09日 星期四 19时26分24秒, Ted Yin wrote:
>>> On Thu 09 Feb 2012 07:10:16 PM CST, jiakai wrote:
>>>> On 2012年02月09日 星期四 19时08分45秒, Ted Yin wrote:
>>>>> 如題。
>>>>>
>>>> 对啊。。。也可以叫token神马的。。。
>>>>
>>> 我剛纔問了下google，token是不是一般就是拿來防Cross-site request forgery的？除此之外還有其他用途嗎？
>>>
>> 目前没用这个来防CSRF，要防止也应该不是在model的层面上吧。。。这个类似于Session
>> token（http://en.wikipedia.org/wiki/Session_token），只是用来标志用户登陆了而已。。。
>>
> 額。。pyramid似乎有自帶的Session系統。
> Model有了CSRF才方便生成HTML時放在表單裏面傳給用戶啊。
> 順便諮詢一下，Session是不是一般通過Cookie來驗證的？
>

model跟数据库打交道吧。。。不管CSRF的事。。。这个只是用来生成一个可以验
证用户身份的字符串而已。。。Session一般可以在服务 器或客户端实现，但目前
还没发现使用的必要。。。

[jiakai]

On 2012年02月09日 星期四 19时50分49秒, Xiaoyu Liu wrote:
> 至少我瞭解的是＝W＝
>
> Xiaoyu Liu
> Tsinghua University

> vur...@gmail.com <mailto:vur...@gmail.com>

> --
> 您收到此邮件是因为您订阅了 Google 网上论坛的“pynojo-discuss”论坛。
> 要向此网上论坛发帖，请发送电子邮件至 pynojo-...@googlegroups.com。
> 要取消订阅此网上论坛，请发送电子邮件至 pynojo-
> discuss+u...@googlegroups.com。
> 若有更多问题，请通过
> http://groups.google.com/group/pynojo-discuss?hl=zh-CN 访问此网上论坛。

还有你们为什么都用繁体字体+简体语法……………………这是搞哪样………………

[Xiaoyu Liu]

因為下學期修古漢＝W＝先適應下＝W＝

Xiaoyu Liu
Tsinghua University
vur...@gmail.com

www.vuryleo.com

[Ted Yin]

On Thu 09 Feb 2012 07:56:27 PM CST, Xiaoyu Liu wrote:
> 因為下學期修古漢＝W＝先適應下＝W＝
>
> Xiaoyu Liu
> Tsinghua University

> vur...@gmail.com <mailto:vur...@gmail.com>

> www.vuryleo.com
>
>
>
> On Feb 9, 2012, at 7:49 PM, Ted Yin wrote:
>
>> On Thu 09 Feb 2012 07:35:06 PM CST, jiakai wrote:
>>> On 2012年02月09日 星期四 19时26分24秒, Ted Yin wrote:
>>>> On Thu 09 Feb 2012 07:10:16 PM CST, jiakai wrote:
>>>>> On 2012年02月09日 星期四 19时08分45秒, Ted Yin wrote:
>>>>>> 如題。
>>>>>>
>>>>>
>>>>> 对啊。。。也可以叫token神马的。。。
>>>>>
>>>>
>>>> 我剛纔問了下google，token是不是一般就是拿來防Cross-site request
>>>> forgery的？除此之外還有其他用途嗎？
>>>>
>>>

>>> 目前没用这个来防CSRF，要防止也应该不是在model的层面上吧。。。这个类
>>> 似于Session
>>> token（http://en.wikipedia.org/wiki/Session_token），只是用来标志用
>>> 户登陆了而已。。。
>>>
>>

>> 額。。pyramid似乎有自帶的Session系統。
>> Model有了CSRF才方便生成HTML時放在表單裏面傳給用戶啊。
>> 順便諮詢一下，Session是不是一般通過Cookie來驗證的？
>>
>> --
>> --- This information is automatically generated ---
>>
>> The *attached* file named 'signature.asc' is used for
>> *verification* of the content above. If you haven't
>> got a public key, please contact me to acquire one.
>>
>> ted.sybil aka. ymfoi aka. Ted Yin
>>
>

> --
> 您收到此邮件是因为您订阅了 Google 网上论坛的“pynojo-discuss”论坛。
> 要向此网上论坛发帖，请发送电子邮件至 pynojo-...@googlegroups.com。
> 要取消订阅此网上论坛，请发送电子邮件至 pynojo-
> discuss+u...@googlegroups.com。
> 若有更多问题，请通过
> http://groups.google.com/group/pynojo-discuss?hl=zh-CN 访问此网上论坛。

= = 突然發現繁體看上去很靠譜。。
沒有使用的必要？ 用戶登錄後進行的一系列操作用session感覺比較自然吧。。
或者是說我受php毒害了。求科普cookie 與 session的關係。

[jiakai]

用户进行什么操作需要用session。。。。？
session是一个概念，可以有一种基于cookie的实现。。

[Ted Yin]

哦。就是說像X session manager那種。
PHP裏面登錄神馬的我看那些sample都是用Session搞的，有原因嗎？
就是因爲入門看的例子那樣處理，所以不太明白。

[jiakai]

只是比较好写代码而已。。。不过php的session貌似是在tmp下建临时文件实现的，对服务器压力也不小。。。

[Ted Yin]

哦，也可以用數據庫實現哈。。看來我原來猜的是對的。。
cookie file database都是實現數據持久化的手段，這句話應該靠譜吧。

[jiakai]

cookie是不可信任的。。。file存储敏感数据也要小心。。

[Ted Yin]

言下之意是，對於數據安全要有 一切別人提供的都是被篡改或惡意構造 的先驗假設？

[jiakai]

一切用户提交的数据都是恶意构造的，一切可能被用户看到的数据都是可以被看到的。。。

[Xiaoyu Liu]

嚴正同意＝W＝

Xiaoyu Liu
Tsinghua University
vur...@gmail.com

www.vuryleo.com