python - 更改默认摘要方法很危险

Question

尝试更改默认的摘要方法很危险。代码片段如下。问题 - 我应该得到相同的签名结果吗？我是否正确设置了摘要方法？

from itsdangerous import Signer
import hashlib
s = Signer('secret-key')
s.default_digest_method = staticmethod(hashlib.sha1)
print ('sha1-->', s.sign(b'my string'))
s.default_digest_method = staticmethod(hashlib.sha256)
print ('sha2-->', s.sign(b'my string'))

结果是：

sha1--> b'my string.wh6tMHxLgJqB6oY1uT73iMlyrOA'
sha2--> b'my string.wh6tMHxLgJqB6oY1uT73iMlyrOA'

Answer 1

default_digest_method在创建签名者时使用，除非digest_method未通过。使用digest_method论据：

import hashlib
from itsdangerous import Signer

s = Signer('secret-key', digest_method=hashlib.sha1)
print('sha1-->', s.sign(b'my string'))
s = Signer('secret-key', digest_method=hashlib.sha256)
print('sha2-->', s.sign(b'my string'))

输出：

sha1--> b'my string.wh6tMHxLgJqB6oY1uT73iMlyrOA'
sha2--> b'my string.PVHY4OzY_ekIpRd3A5G0vzTkhg8wSod5E3p90JgBCKw'

---

如果要覆盖默认的摘要方法，则需要在创建签名者对象之前修改类属性：

Signer.default_digest_method = hashlib.sha1
s = Signer('secret-key')
print('sha1-->', s.sign(b'my string'))

Signer.default_digest_method = hashlib.sha256
s = Signer('secret-key')
print('sha2-->', s.sign(b'my string'))