วัตถุประสงค์ของการตั้งค่า Django 'SECRET_KEY'

ประเด็นของSECRET_KEYdjango คืออะไร? ฉันค้นหา google สักสองสามครั้งและดูเอกสาร ( https://docs.djangoproject.com/en/dev/ref/settings/#secret-key ) แต่ฉันกำลังมองหาคำอธิบายเชิงลึกเพิ่มเติม และทำไมมันจำเป็นต้องใช้

ตัวอย่างเช่นจะเกิดอะไรขึ้นถ้าคีย์ถูกบุกรุก / คนอื่น ๆ รู้ว่ามันคืออะไร? ขอบคุณ.

ใช้สำหรับทำแฮช ดู:

>grep -Inr SECRET_KEY *
conf/global_settings.py:255:SECRET_KEY = ''
conf/project_template/settings.py:61:SECRET_KEY = ''
contrib/auth/tokens.py:54:        hash = sha_constructor(settings.SECRET_KEY + unicode(user.id) +
contrib/comments/forms.py:86:        info = (content_type, object_pk, timestamp, settings.SECRET_KEY)
contrib/formtools/utils.py:15:    order, pickles the result with the SECRET_KEY setting, then takes an md5
contrib/formtools/utils.py:32:    data.append(settings.SECRET_KEY)
contrib/messages/storage/cookie.py:112:        SECRET_KEY, modified to make it unique for the present purpose.
contrib/messages/storage/cookie.py:114:        key = 'django.contrib.messages' + settings.SECRET_KEY
contrib/sessions/backends/base.py:89:        pickled_md5 = md5_constructor(pickled + settings.SECRET_KEY).hexdigest()
contrib/sessions/backends/base.py:95:        if md5_constructor(pickled + settings.SECRET_KEY).hexdigest() != tamper_check:
contrib/sessions/backends/base.py:134:        # Use settings.SECRET_KEY as added salt.
contrib/sessions/backends/base.py:143:                       settings.SECRET_KEY)).hexdigest()
contrib/sessions/models.py:16:        pickled_md5 = md5_constructor(pickled + settings.SECRET_KEY).hexdigest()
contrib/sessions/models.py:59:        if md5_constructor(pickled + settings.SECRET_KEY).hexdigest() != tamper_check:
core/management/commands/startproject.py:32:        # Create a random SECRET_KEY hash, and put it in the main settings.
core/management/commands/startproject.py:37:        settings_contents = re.sub(r"(?<=SECRET_KEY = ')'", secret_key + "'", settings_contents)
middleware/csrf.py:38:                % (randrange(0, _MAX_CSRF_KEY), settings.SECRET_KEY)).hexdigest()
middleware/csrf.py:41:    return md5_constructor(settings.SECRET_KEY + session_id).hexdigest()

เอกสาร Django สำหรับการลงนามการเข้ารหัสลับที่ครอบคลุมการใช้งานของ 'SECRET_KEY' การตั้งค่า:

ค่านี้ [การSECRET_KEYตั้งค่า] เป็นกุญแจสำคัญในการรักษาความปลอดภัยข้อมูลที่เซ็นชื่อ - มันเป็นสิ่งสำคัญที่คุณต้องรักษาความปลอดภัยนี้หรือมิฉะนั้นผู้โจมตีสามารถใช้เพื่อสร้างค่าที่เซ็นชื่อของตนเอง

(ส่วนนี้อ้างอิงจากเอกสาร Django สำหรับการตั้งค่า 'SECRET_KEY' )

API การเซ็นชื่อเข้ารหัสใน Django พร้อมใช้งานสำหรับแอปใด ๆ สำหรับลายเซ็นที่เข้ารหัสด้วยความปลอดภัยเกี่ยวกับค่า Django ใช้ประโยชน์จากสิ่งนี้ในคุณสมบัติระดับสูงต่าง ๆ :

• การลงชื่อข้อมูลที่ต่อเนื่องกัน (เช่นเอกสาร JSON)

• โทเค็นที่ไม่ซ้ำกันสำหรับเซสชันผู้ใช้การร้องขอรีเซ็ตรหัสผ่านข้อความ ฯลฯ

• การป้องกันการโจมตีข้ามไซต์หรือเล่นซ้ำโดยการเพิ่ม (และคาดหวัง) ค่าที่ไม่ซ้ำสำหรับคำขอ

• สร้างเกลือที่เป็นเอกลักษณ์สำหรับฟังก์ชั่นแฮช

ดังนั้นคำตอบทั่วไปคือ: มีหลายสิ่งในแอป Django ที่ต้องใช้ลายเซ็นเข้ารหัสและการตั้งค่า 'SECRET_KEY' เป็นกุญแจสำคัญที่ใช้สำหรับเหล่านั้น จำเป็นต้องมีเอนโทรปีจำนวนมากที่เข้ารหัสลับ (ยากสำหรับคอมพิวเตอร์ที่จะเดา) และไม่ซ้ำกันระหว่างกรณี Django ทั้งหมด

ตามเอกสาร Django เมื่อSECRET_KEY :

รหัสลับใช้สำหรับ:

• การประชุมทั้งหมดถ้าคุณกำลังใช้แบ็กเอนด์เซสชั่นอื่น ๆ ที่ไม่ใช่หรือใช้ค่าเริ่มต้นdjango.contrib.sessions.backends.cacheget_session_auth_hash()
• ข้อความทั้งหมดถ้าคุณกำลังใช้หรือCookieStorageFallbackStorage
• PasswordResetView ทั้งหมดโทเค็น
• การใช้งานของการลงนามการเข้ารหัสใด ๆ เว้นแต่มีการระบุคีย์ที่แตกต่างกัน

หากคุณหมุนรหัสลับของคุณทั้งหมดข้างต้นจะถูกยกเลิก รหัสลับไม่ได้ใช้สำหรับรหัสผ่านของผู้ใช้และการหมุนคีย์จะไม่ส่งผลกระทบต่อพวกเขา