Как я предотвращаю атаки с повторением пакетов?

Question

Как я предотвращаю атаки с повторением пакетов?

ensure_future vs create_task

ensure_future - метод создания Task из coroutine . Он создает задачи по-разному на основе аргумента (включая использование create_task для сопрограмм и объектов, подобных будущим).

create_task является абстрактным методом AbstractEventLoop. Различные циклы событий могут реализовать эту функцию по-разному.

Вы должны использовать ensure_future для создания задач. Вам понадобится create_task, только если вы собираетесь реализовать свой собственный тип цикла событий.

Обновление:

@ bj0 указал на Ответ Guido на эту тему:

Точка ensure_future() заключается в том, что у вас есть что-то, что может быть либо сопрограммой или Future (последняя включает в себя Task, потому что это подкласс Future), и вы хотите иметь возможность вызывать на нем метод, который определен только на Future (вероятно, единственным полезным примером является cancel()). Когда это уже Future (или Task), это ничего не делает; когда он является сопрограммой, он обертывает его в Task.

Если вы знаете, что у вас есть сопрограмма и вы хотите, чтобы она была запланирована, правильный API для использования create_task(). Единственный момент, когда вы должны называть ensure_future(), - это когда вы предоставляете API (например, большинство API-интерфейсов asyncio), который принимает либо сопрограммы, либо Future, и вам нужно что-то сделать, чтобы потребовалось Future.
blockquote>
и позже:
В конце я все еще верю, что ensure_future() является соответственно неясным именем редко требуемой части функциональность. При создании задачи из сопрограммы вы должны использовать имя с именем loop.create_task(). Может быть, для этого должен быть псевдоним asyncio.create_task()?
blockquote>
Удивительно для меня. Моей главной мотивацией использовать ensure_future все время было то, что это функция более высокого уровня по сравнению с членом цикла create_task (обсуждение содержит некоторые идеи, такие как добавление asyncio.spawn или asyncio.create_task).

Я также могу указать, что, на мой взгляд, довольно удобно использовать универсальную функцию, которая может обрабатывать любые Awaitable, а не сопрограммы.

Однако ответ Гвидо ясен: «При создании задачи из сопрограммы вы должны использовать назначенное имя loop.create_task() "

Когда сопрограммы должны быть завернуты в задачи?

Обертка сопрограммы в Задаче - это способ запуска этой сопрограммы" в фоновом режиме ". Вот пример:
import asyncio


async def msg(text):
    await asyncio.sleep(0.1)
    print(text)


async def long_operation():
    print('long_operation started')
    await asyncio.sleep(3)
    print('long_operation finished')


async def main():
    await msg('first')

    # Now you want to start long_operation, but you don't want to wait it finised:
    # long_operation should be started, but second msg should be printed immediately.
    # Create task to do so:
    task = asyncio.ensure_future(long_operation())

    await msg('second')

    # Now, when you want, you can await task finised:
    await task


if __name__ == "__main__":
    loop = asyncio.get_event_loop()
    loop.run_until_complete(main())
Выход:
first
long_operation started
second
long_operation finished
Вы можете заменить asyncio.ensure_future(long_operation()) только на await long_operation(), чтобы почувствовать разницу.

16

encryption security asp.net

задан Community 23 May 2017 в 11:53

10 ответов

Если Вы действительно не хотите хранить какое-либо состояние, я думаю лучшее, которое можно сделать, ограничить атаки с повторением пакетов при помощи меток времени и короткое время истечения срока. Например, сервер отправляет:

{Ts, U, HMAC ({Ts, U}, Ks)}

, Где Ts является меткой времени, U является именем пользователя, и Ks является секретным ключом сервера. Пользователь передает это обратно серверу, и сервер проверяет его путем перевычисления HMAC на предоставленных значениях. Если это допустимо, Вы знаете, когда это было выпущено и может принять решение проигнорировать его, если это является более старым, чем, скажем, 5 минут.

А хороший ресурс для этого типа разработки Do и Don'ts Аутентификации клиента в сети

13