0

Supondo que ja estou utilizando a biblioteca django.contrib.auth.tokens.default_token_generator gerando tokens para resetar a senha de um usuário, e queira utilizar o mesmo método para ativar o usuário, ou para qualquer outro serviço semelhante, existem os seguintes riscos?

  1. Revelar detalhes indesejados para o usuário como id ou a hash da senha persistida em banco;
  2. Assim que gerado um token 'X' em determinada ação, como por exemplo, resetar a senha, o usuário poder utilizar este mesmo token para outra ação, como por exemplo, ativar usuário;
  3. Assim que gerado um novo token para o usuário, os tokens anteriores do mesmo usuário continuarem ativos.

    Apesar de esclarecerem parcialmente minhas dúvidas nesta pergunta ainda não sei dizer como um token permanece ativado ou desativado sem a persistência em um banco de dados, seria através da atualização do campo last_login do usuário?

    Contudo gostaria de entender definitivamente a lógica por trás deste método para entender os riscos e benefícios em produção.

1 Resposta 1

1

Você pode usar:

import binascii
import os

numero_de_caracteres = 15
token = binascii.hexlify(os.urandom(numero_de_caracteres))
print(token)

O código acima gera uma string aleatoriamente com 15 caracteres e armazena na variável token. Para definir o número de caracteres basta modificar o valor da variável numero_de_caracteres.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .