5

Considerando um modelo para resetar senha já implementado pelo Django, nas seguintes views:

  • django.contrib.auth.password_reset
  • django.contrib.auth.password_reset_done
  • django.contrib.auth.password_reset_confirm
  • django.contrib.auth.password_reset_complete

Na view "django.contrib.auth.password_reset" é gerado um token passado como parametro de url para a view "django.contrib.auth.password_reset_confirm".

Sobre este token, não achei nada a respeito na documentação do Django e também não consegui entender o código fonte, contudo tenho as seguintes perguntas:

  1. Como ele é gerado e verificado?
  2. O token é persistido no banco de dados e vinculado ao usuário, ou é gerado apenas uma hash da id ?
  3. Utilizando este metodo pode ser gerado tokens para outras utilidades, como por exemplo para ativar uma conta?

1 Resposta 1

4

Cara excelente pergunta!

Vamos lá, segundo a documentação do Django:

Existem 4 views para o reset de password:

# - password_reset envia o email
# - password_reset_done mostra uma mensagem de sucesso para o envio do email
# - password_reset_confirm checa a url e pergunta por uma nova senha
# - password_reset_complete mostra uma mensagem de sucesso para todo o processo

As views password_reset e password_reset_confirm utilizam a mesma classe para gerar e conferir o token. django.contrib.auth.tokens.default_token_generator.

1. Como ele é gerado e verificado?

Olhando no link da documentação é possível reparar que o django utiliza a seguinte classe para a geração do token from django.contrib.auth.tokens.default_token_generator.

Buscando por essa classe no projeto do github é possível verificar que o token é gerado de acordo com o usuário e o timestamp.

Removendo os comentários do código se tem:

def make_token(self, user):
    return self._make_token_with_timestamp(user, self._num_days(self._today()))

def _make_token_with_timestamp(self, user, timestamp):
    ts_b36 = int_to_base36(timestamp)
    hash = salted_hmac(
        self.key_salt,
        self._make_hash_value(user, timestamp),
    ).hexdigest()[::2]
    return "%s-%s" % (ts_b36, hash)

def _make_hash_value(self, user, timestamp):
    login_timestamp = '' if user.last_login is None else user.last_login.replace(microsecond=0, tzinfo=None)
    return (
        six.text_type(user.pk) + user.password +
        six.text_type(login_timestamp) + six.text_type(timestamp)
    )

Verificando esse código e o que está no github (não irei incluir tudo pois acredito ser desnecessário) nós podemos concluir que o token formado é gerado a partir do timestamp+"-"+hash

Onde:

#timestamp = conversao numero de dias desde 01/01/2001 para a base 36.
#hash = user.pk + user.password + user.last_login + timestamp

O fato do código utilizar six.text_type se deve ao fato de que foi definido um padrão de str para o Python3 e unicode para as outras versões, como se pode ver no próprio código da classe six.

if PY3:
    string_types = str,
    integer_types = int,
    class_types = type,
    text_type = str
    binary_type = bytes

    MAXSIZE = sys.maxsize
else:
    string_types = basestring,
    integer_types = (int, long)
    class_types = (type, types.ClassType)
    text_type = unicode
    binary_type = str

2. O token é persistido no banco de dados e vinculado ao usuário, ou é gerado apenas uma hash da id ?

Como é possível verificar no código do projeto, o token não é persistido e sim gerado e confirmado no momento de acesso. Como demonstrado na primeira questão.

3. Utilizando este metodo pode ser gerado tokens para outras utilidades, como por exemplo para ativar uma conta?

Sim, você pode aproveitar a classe django.contrib.auth.tokens.default_token_generator para poder fazer a geração e validação do token, mas terá que implementar as suas próprias views.

2
  • Muito obrigado, eu tinha visto este código no GitHub porém não entendi como era a validação uma vez que não era persistido um código para comparação, então resumindo e semelhante a maneira que ele criptografa o password, apenas usa o mesmo mecanismo de criptografia e compara as chaves ?
    – user5020
    7/06/2016 às 17:53
  • Esta documentação e da versão 1.8 , é valido para versões mais recentes ?
    – user5020
    14/06/2016 às 14:42

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .