FlaskでDigest認証をするとcurlでユーザーとパスワードを入れても認証されない

Question

###前提・実現したいこと

Flaskで作ったWeb APIにDigest認証をかけた際、curlで正しいユーザー名とパスワードを指定したら認証できるようにしたい

発生している問題・エラーメッセージ

Flaskで作ったWeb APIにDigest認証をかけた際、curlで正しいユーザー名とパスワードを指定しても認証されません。何故なのでしょうか？
ブラウザでユーザー名とパスワードを入力した際はうまく認証され、正しいページが表示されます。

$ curl --digest -u a:a http://127.0.0.1:80
Unauthorized Access

該当のソースコード

下記のapi.py以外にDigest認証用の設定は特に行っておりません。apacheを使用しています。

from flask import Flask, jsonify, abort, make_response, request
from flask_httpauth import HTTPDigestAuth

api = Flask(__name__)

api.config['SECRET_KEY'] = 'secret key here' #ランダムな値を作成する
auth = HTTPDigestAuth()

#"id":"パスワード"
users = {
    "a": "a",
    "b": "b"
}

@auth.get_password
def get_pw(username):
    if username in users:
        return users.get(username)
    return None

@api.route('/')
@auth.login_required
def index(): 
    return "Hello, %s!" % auth.username()

if __name__ == '__main__':
    api.run(host='127.0.0.1', port=80)

バージョン

Python 3.7.3
Flask 1.0.2
Flask-HTTPAuth 4.4.0

###補足
ちなみにDigest認証からBasic認証に変更した時はcurlでもうまく表示されました。

Answer 1

これ実に不思議な現象だと思いました。ちなみに、wgetだと認証が通ります。wget、curl、Flask-HTTPAuthの内部を追いかけたところ、原因がわかりました。

Flask-HTTPAuthはopaqueというパラメータをセッションに保存しています。なので、Cookieが有効にならないと認証に失敗します。wgetはデフォルトでCookieを保存しませんが、Digest認証時のCookieは有効になるようです。一方、cURLはオプションを指定しないとCookieが有効になりません。

解決策としては、明示的にCookieを有効にすればよいと思います。

$ curl -c cookie.jar --digest -u "a:a" http://127.0.0.1:5000
Hello, a!

ただ、実験や学習目的ならよいのですが、セキュリティが目的ならDigest認証はお勧めしません。なぜなら、パスワードの安全な保存ができないからです。サンプルソースでも平文でパスワードを取り扱っていますが、Digest認証の場合、パスワードをハッシュ値で保存することができません。
なので、セキュリティ目的なら、HTTPSとBasic認証の組み合わせの方が安全です。

Comments

[a_eui]

ご丁寧な回答ありがとうございます。大変勉強になりました。
追加の質問で恐縮なのですが、curlでオプションを付け加える以外に、pythonファイルの内容に何か追加するなどしてCookieを有効にする方法はあるのでしょうか？

[ockeghem]

Pythonなどサーバー側の操作でCookieを有効にする方法はありません。やるとすれば、Flask-HTTPAuthをカスタマイズしてopaqueのチェックを省くくらいです。セキュリティを弱める方向なので、お勧めできませんが。

[a_eui]

承知いたしました。この度は大変勉強になりました。本当にありがとうございました。

Answer 2

thanks for sharing site https://wordlenytimes.net/

Answer 3

Connections Puzzle Game is a popular word association puzzle game in the Connections Wordle Game, you'll be given a total of 16 words. Your task is to create groups of 4 words each, so you end up with 4 groups in total. Each group should have 4 words that are somehow connected to each other.

Answer 4

FlaskでDigest認証をする際に、CapCut Mod APKを使用すると、curlでユーザーとパスワードを入力しても認証されない問題が発生する可能性があります。この問題についての解決策やアドバイスがあれば、共有していただけると助かります。

Answer 5

We think that the knowledge you give will be very valuable to our readers, and we hope that they will learn something worthwhile or helpful basketball stars

Answer 6

このエラーメッセージを修正するにはどうすればよいですか? 私も上記と同じメッセージを受け取り、それを修正しようとしていますが、修正できないようです。nyt wordle、誰か助けてくれませんか？ できるだけ早くご対応ください。

Answer 7

My problem can be solved thanks to this writer, anyway playing octordle will help you to expand your knowledge.

Answer 8

We feel that the information you provide will be of great value to our readers, and we hope that they may learn something new or find it beneficial. eggy car

Answer 9

あなたが共有する情報は読者に多くの価値をもたらすと信じており、良いものや役立つものを吸収してくれることを願っています。 The Password Game

Answer 10

HTTP Digest認証では、slope game サーバーがRealm（認証領域）を指定する必要があります。Realmはクライアントに対して認証情報を要求する際に表示される情報です。コード中で@auth.get_passwordデコレータの中で、Realmを設定してみてください。

Answer 11

curlコマンドでは、--digestオプションを使用してDigest認証を有効にすることができますが、Flask-HTTPAuthはデフォルトではqop (Quality of Protection) Infinite Fusion Calculator のサポートを必須としているため、curlコマンドのリクエストにもqop値を含める必要があります。

Answer 12

Flask-HTTPAuthのバージョン4.4.0では、Digest認証が正しく機能しない場合があります。この問題は、Flask-HTTPAuthのバージョン4.4.0で修正されたバグに関連している可能性があります。
一つの解決策は、Flask-HTTPAuthのバージョンを下げることです。バージョン4.3.0は、正常に動作することが報告されています。tunnel rush