0

我在尝试快速启动并运行 HTTP Digest 身份验证时遇到了一些困难，这与指南中的建议非常相似：

Ruby on Rails 指南：动作控制器概述 > HTTP 摘要式身份验证

class ApplicationController < ActionController::Base
  protect_from_forgery

  USERS = { "sam" => "ruby" }

  before_filter :authenticate

private
  def authenticate
    authenticate_or_request_with_http_digest do |username|
      USERS[username]
    end
  end
end

我收到提示输入用户名和密码，尽管在输入上述内容时，身份验证似乎失败并且我再次收到提示。所以我开始在这里深入研究验证请求的代码：

GitHub：http_authentication.rb > validate_digest_response

  def validate_digest_response(request, realm, &password_procedure)
    secret_key  = secret_token(request)
    credentials = decode_credentials_header(request)
    valid_nonce = validate_nonce(secret_key, request, credentials[:nonce])

    if valid_nonce && realm == credentials[:realm] && opaque(secret_key) == credentials[:opaque]
      password = password_procedure.call(credentials[:username])
      return false unless password

      method = request.env['rack.methodoverride.original_method'] || request.env['REQUEST_METHOD']
      uri    = credentials[:uri][0,1] == '/' ? request.fullpath : request.url

     [true, false].any? do |password_is_ha1|
       expected = expected_response(method, uri, credentials, password, password_is_ha1)
       expected == credentials[:response]
     end
    end
  end

我看不到它是如何将密码作为纯文本处理的。password_is_ha1是如何设置的？我也有点困惑怎么办？块正在工作，这可能没有帮助：-/

快速说明：我知道我真的不应该以纯文本和像这样的源代码存储密码。我只是想建立一种理解，稍后会对其进行重构。

非常感谢您提前提供的所有帮助:-D

4

1 回答 1

0

该any?方法的作用类似collect，只是它true在其块第一次返回时返回true。在这里，它就像数组上的循环[true, false]：

  1. 该块首先运行password_is_ha1设置为true。如果块返回true，则any?立即返回true，并且由于这是 的最后一条语句validate_digest_response，因此该方法作为一个整体返回true。

  2. 否则，将再次运行该块并password_is_ha1设置为false。如果块返回true，则any?立即返回true，并且由于这是 的最后一条语句validate_digest_response，因此该方法作为一个整体返回true。

  3. 如果这些运行都没有返回true，则any?返回false。由于这是 的最后一条语句validate_digest_response，因此整个方法返回false。

因此，该行的效果是首先假设它是一个散列密码并检查它是否有效，然后假设它是一个明文密码并检查它是否有效。另一种更冗长的编写方式是：

   expected = expected_response(method, uri, credentials, password, true)
   return true if expected == credentials[:response]

   expected = expected_response(method, uri, credentials, password, false)
   return true if expected == credentials[:response]

   return false
于 2012-07-08T00:24:31.197 回答