Produits Entr'ouvert » Authentic 2

Il y a des bouts dans setup.py et admin.py qui semblent d'ailleurs.

C'était galère de plutôt modifier la vue de réinitialisation de mot de passe pour ne pas bloquer sur l'absence de mot de passe ?

Frédéric Péters a écrit :

Il y a des bouts dans setup.py et admin.py qui semblent d'ailleurs.

C'était galère de plutôt modifier la vue de réinitialisation de mot de passe pour ne pas bloquer sur l'absence de mot de passe ?

Pour l'instant je me sers de l'absence de mot de passe pour dire que c'est un compte qui ne doit pas en avoir (typiquement un compte LDAP ou France Connect), Je veux bien rajouter un flag 'no_password_account' mais ça demanderait de réfléchir un peu plus.

Pour l'instant je me sers de l'absence de mot de passe pour dire que c'est un compte qui ne doit pas en avoir (typiquement un compte LDAP ou France Connect), Je veux bien rajouter un flag 'no_password_account' mais ça demanderait de réfléchir un peu plus.

Ok, restons sur l'approche du patch alors, mais pour être sûr que ça ne soit jamais bon, peut-être que le mot de passe pourrait être genre '\0' ?

Tout ce qui n'est pas une hash de mot de passe correct va faire que User.has_unusable_password() va retourner True et ça va bloquer l'écran de ré-initialisation, le plus simple c'est vraiment de mettre un truc random mais qui passe pour un vrai mot de passe (et si j'essaie de mettre un truc qui ressemble à un hash mais qui n'en est pas un j'ai peur que ça fasse des exceptions étranges quand on ne s'y attendra pas, par exemple sur une authentification HttpBasic dans django-rest-framework).

Benjamin Dauvergne a écrit :

Tout ce qui n'est pas une hash de mot de passe correct va faire que User.has_unusable_password() va retourner True et ça va bloquer l'écran de ré-initialisation, le plus simple c'est vraiment de mettre un truc random mais qui passe pour un vrai mot de passe (et si j'essaie de mettre un truc qui ressemble à un hash mais qui n'en est pas un j'ai peur que ça fasse des exceptions étranges quand on ne s'y attendra pas, par exemple sur une authentification HttpBasic dans django-rest-framework).

Pour donner un peu de contexte si tu te souviens des versions précédentes de Django, avant un mot de passe inutilisable c'était seulement '!' mais ça a changé dans les versions récentes.

Ok même si :

>>> user = User.objects.all()[0]
>>> user.set_password('\0')
>>> user.has_usable_password()
True

Bizarre en Django18 j'ai ce test qui passe et dit exactement le contraire:

+def test_login_no_password(db, app):
+    User = get_user_model()
+    user1 = User.objects.create(username='john.doe')
+    user1.password = ''
+    user1.save()
+    assert not user1.has_usable_password()
+
+    assert not authenticate(username=user1.username, password='coin')
+    assert not authenticate(username=user1.username, password='')
+
+    user1.password = '\0'
+    user1.save()
+    assert not user1.has_usable_password()
+
+    assert not authenticate(username=user1.username, password='coin')
+    assert not authenticate(username=user1.username, password='')

Je fais .set_password().

Via l'API y a moyen d'envoyer '\0' comme mot de passe je pense en HTTPBasic (b64encode('login:\0')).

Et via le formulaire on doit pouvoir faire avec de l'urlencoding '%00'.

C'était une crainte en ayant la flemme d'essayer; bref comme je disais plus haut, ok pour l'approche.