pramid.security.记得吗安全吗？

Question

在 我想知道这是否安全，我不知道记忆是如何工作的。如果我通过forget注销，我仍然可以在我的浏览器中查看auth_tkt cookie，因此我认为这不可能像加密用户的id并将其存储在cookie中那样简单，是吗？

编辑：
我的登录代码：

headers = remember(request,user.userId)
return HTTPFound(location="/",headers=headers)

注销代码：

^{pr2}$

Answer 1

在金字塔。安全。记得吗使用HMAC签署cookies，使其接近防篡改。 http://en.wikipedia.org/wiki/Hmac

关于forget的问题，您是否将不带cookie的新请求传递给头？在

headers = forget(request)
return HTTPFound(location = request.route_url('home'),
                 headers = headers)

http://docs.pylonsproject.org/projects/pyramid/en/1.3-branch/tutorials/wiki2/authorization.html#adding-login-and-logout-views

另外，如果您向我们展示您所做的尝试，可能包括您的注销视图代码，这会有所帮助