【Django】一部アプリ内のセッションIDの発行をカスタマイズしたい

Question

前提・実現したいこと

Djangoを使用して、LINE BOTを作成しています。
一時的に対話している内容を保存するため、セッションを利用したいです。
LINE BOT用のアプリをline-botとし、セッションIDとして、ユーザーIDを利用したいです。
この方法だとセッション・ハイジャックのリスクがあるのは重々承知してますが、他の方法が思いつかないため、ひとまずこの方法で対応。

発生している問題・エラーメッセージ

Django上でセッションを利用する場合は、settting.pyでセッションクラスを設定する必要がありますが、今回利用したいのはline-botアプリ内だけなので、全体には設定をしたくないです。
この場合は、どのようにしてセッションの設定を行えばいいのでしょうか？

セッションの削除や挿入などはSessionStoreが担っていますが、セッションIDの生成はSessionBaseが担っているので、どのようにすればSessionBaseをオーバーライドして、オーバーライドした内容をSessionStoreに継承出来るのでしょうか？

ご教示のほど、よろしくお願い致します。

追記

• User IDを主キーとして、DB上で管理する方法に関して

その手法も検討しましたが、セッションのようにTTLが無いので30分毎に中途半端なものを消すなどの処理を実装するのに時間がかかるため、ひとまず、セッションの使った方法を検討してます。
また、テーブルに値を入れるのに、全ての値が揃ってから挿入するのが当たり前なので、個別に入れるのは嫌なので、DBでの一時的な値保存は行いたくありません。

Answer 1

この方法だとセッション・ハイジャックのリスクがあるのは重々承知してますが、他の方法が思いつかないため、ひとまずこの方法で対応。

セッションではなくMySQL、PostgreSQL等のDBにユーザーIDをキーとして保存する手法はいかがでしょうか。
Webhookのエンドポイントはパブリックにする必要がありますが、署名を検証することでLINEからのリクエストであることを保証できセキュリティリスクを下げることができます。

https://developers.line.biz/ja/reference/messaging-api/#signature-validation

Comments

[Nero1129]

その方法はあまり行いたくなので、質問に行いたくない理由等を追記しておきましたので、ご確認よろしくお願い致します

[shoya.shiraki]

セキュリティホールを生むのが自明である手法での実現を推進するのは憚られるため
保存期限が設定可能なin-memory cacheなどで検討してみてください。

https://github.com/mailgun/expiringdict

[Nero1129]

まさに、こんなのが欲しかったところです。
ありがとうございます。商品化するわけではないので、取り合えず、これで実装してみます。