App Engine Howto通过用户服务维护http和https上的登录

以下代码演示了我拥有的问题，它在Github上可用。当我删除用于登录的安全路由时，该代码起作用，但是当我确保页面不安全时。或者，如果我使主页安全：始终/可选。除非您将main.py中的http方案从https更改为http，否则此代码无法在您的开发服务器上运行。App Engine Howto通过用户服务维护http和https上的登录

为什么此代码无法通过https登录？

的app.yaml

application: testapp 
version: 1 
runtime: python27 
api_version: 1 
threadsafe: yes 

libraries: 
- name: webapp2 
    version: latest 

handlers: 
- url: /login 
    script: main.app 
    secure: always 

- url: /.* 
    script: main.app 
    secure: never

main.py

import webapp2 
from google.appengine.ext.webapp import template 
from google.appengine.api import users 
from login import LoginHandler 
from admin import AdminHandler 

class HomeHandler(webapp2.RequestHandler): 
    def get(self): 
     user = users.get_current_user() 
     if users.is_current_user_admin(): 
      loggedin = "Admin" 
      values = {'loggedin': loggedin, 
         'logout_url': users.create_logout_url("/")} 
     elif user: 
      loggedin = "User" 
      values = {'loggedin': loggedin, 
         'logout_url': users.create_logout_url("/")} 
     else: 
      loggedin = "Anonymous" 
      values = {'loggedin': loggedin, 
         'logout_url': users.create_logout_url("/")} 
     self.response.out.write(template.render('home.html', values)) 

app = webapp2.WSGIApplication([ 
    webapp2.Route(r'/', HomeHandler), 
    webapp2.Route(r'/login', LoginHandler, schemes=['https']), 
    webapp2.Route(r'/admin', AdminHandler, schemes=['https']) 
], debug=True)

import webapp2 
from google.appengine.ext.webapp import template 
from google.appengine.api import users 

# Login page Request Handler Class 
class LoginHandler(webapp2.RequestHandler): 
    def get(self): 
     user = users.get_current_user() 

     values = {'login_url': users.create_login_url("/")} 
     self.response.out.write(template.render('login.html', values))

admin.py

import webapp2 
from google.appengine.ext.webapp import template 
from google.appengine.api import users 

# Login page Request Handler Class 
class AdminHandler(webapp2.RequestHandler): 
    def get(self): 
     user = users.get_current_user() 

     values = {'user': users.nickname()} 
     self.response.out.write(template.render('admin.html', values))

home.html的

<html> 
<body> 
<p>Who is logged in: {{loggedin}}</p> 
<ul> 
    <li> 
    {% ifequal loggedin "Anonymous" %} 
     <a href="/login">Login</a> 
    {% else %} <!-- user is logged in --> 
     <a href="{{logout_url}}">Logout</a> 
    {% endifequal %} 
    </li> 
    {% ifequal loggedin "Admin" %} 
    <li class="right"> 
     <a href="/admin">Admin</a> 
    </li> 
    {% endifequal %} 
</ul> 
</body> 
</html>

的login.html

<html> 
<body> 
<ul> 
    <li> 
     <a href="{{login_url}}">Login</a> 
    </li> 
</ul> 
</body> 
</html>

admin.html

<html> 
<body> 
     <p>Your logged in as: {{user}}</p> 
</body> 
</html>

正如你可以看到一个很简单的例子，用户点击登录链接，进入登录页面，他们通过Google身份验证登录并重定向到不安全的主页。当用户回到主页时，预期的行为是“谁登录”返回admin/user /匿名，但我得到的只是匿名，不会添加注销url或管理员用户的管理员url。如果我使登录正常http，然后如果我有一个安全的路线说/管理该请求收到401错误。

此代码仅在使所有HTTPS成为可用时才有效。我知道其他人正在使用安全的登录页面，并仍然能够访问不安全页面上的用户信息。我相信这与Cookie的设置有关，但是我在做错的时候感到不知所措。

来源

2012-06-09 Mark Finch

你是什么意思的“不工作”？换句话说，实际行为与你的预期有什么不同？ – allyourcode

您是否使用FireCookie（或类似的）检查了cookie的详细信息？路径，域等？您是否使用不同的域名进行保护？像secure.app.com的https和www.app.com的http？

我从来没有尝试https GAE，我只是想知道如果我说明显的东西试图帮助很抱歉。

来源

2012-07-16 17:12:37

App Engine Howto通过用户服务维护http和https上的登录

回答

相关问题