隨機丟失的曲奇

Question

我使用燒瓶在heroku上運行一個網頁。它有註冊表格。在註冊後，我會生成session_id並將其添加到數據庫和會話中。然後燒瓶將我重定向到主頁。這是家庭代碼：

@app.route('/home') 
def home(): 
    if 'session_id' in session: 
     user = db.users.find_one({'session_id':session['session_id']}) 
     if user: 
      return render_template("home.html", signin=True, username=user['login'], db=db) 
     else: 
      return "Didn't find user document" 
    else: 
     return redirect(url_for('login')) 

然後，當我開始重新加載頁面時，它隨機顯示主頁或登錄頁面。如果session_ids匹配，我也有從登錄頁面到主頁的重定向。順便說一句，它從來沒有顯示「沒有找到用戶文件」。問題在會話中。

@app.route('/login', methods=['POST', 'GET']) 
def login(): 
    if request.method == 'POST': 
     login = request.form['login'] 
     passhash = request.form['hash'] 
     user = db.users.find_one({'login':login}) 
     if user: 
      if bcrypt.check_password_hash(user['hash'], hashlib.sha512((passhash+user['salt']).encode()).hexdigest().encode()): 
       if user['session_id']: 
        # if alredy logged in on another device 
        session['session_id']=user['session_id'] 
       else: 
        session_id = binascii.hexlify(os.urandom(32)).decode() 
        session['session_id']=session_id 
        db.users.update_one({'login':user['login']},{'$set': {'session_id':session_id}}) 
       return "True" 
     return "Wrong login/password" 

    if 'session_id' in session: 
     if db.users.find_one({'session_id':session['session_id']}): 
      return redirect(url_for('home')) 

return render_template('login.html', title="Sign in") 

本功能可以在使用的onsubmit = 「返回加密（）」

function encrypt(){ 
     var password = $("#inputPassword").val(); 
     var hash = CryptoJS.SHA512(password, { outputLength: 256 }).toString(CryptoJS.enc.Hex); 
     $.post("/login", ({"login":$('#inputLogin').val(),"hash":hash}), function(data){ 
     if(data === 'True'){ 
      window.location = "/home" 
     }else{ 
      $(".error").html('<div class="alert alert-danger" role="alert">'+data+'</div>') 
      $("input").val('') 
     } 
     }); 
     return false; 
    } 

Answer 1

的問題是，密鑰使用os.urandom（24）。在用heroku配置變量設置靜態密鑰後。