フレームワークを使わずにcgiでpythonを動かしてセッション管理する方法

Question

linuxの環境でpythonをcgiとして使いwebサービスを作ろうとしています。

その際、ログイン認証を行う処理を行い、会員ページに
入ることができるようにしようとしています。

クッキーを使いセッション管理を
行おうとしているのですが、pythonでそのような処理を行う場合、
どのようなモジュールを使い、どのような実装を行うのが
一般的なのでしょうか？

今のところフレームワークは使わずに、テンプレートエンジンとして
jinja2を使用し開発しています。

申し訳ございませんが、よろしくお願いいたします。

Pythonのバージョンは、2.7.9。HTTPサーバは、Apache/2.2.29 (FreeBSD)を使用しています。

Comments

[ikedas]

Pythonのバージョンを明記してください。できればHTTPサーバの名前とバージョンも。

[gomengo]

Pythonのバージョンは、2.7.9。HTTPサーバは、apacheで1.3を使用しています。

Answer 1

基本的な認識について、次の資料は通読をお勧めします (もう読まれたかもしれませんが)。

• 『PythonをWeb上で使うにはHOWTO』

---

さて本題ですが、クッキーの生成と復号は、たとえばCookie標準ライブラリを使えばできます。ただし、これはクッキーを勝手にクライアントへ送信してはくれません。クッキー機構の仕様 (RFC 2109) に合うように、自分でCGIの出力にクッキーを埋め込んで送り、自分でクライアントから受け取ったクッキーを処理する必要があります。

ログイン処理の流れは次のようになるでしょう。

1. クライアントから送られたクッキー (Cookieヘッダフィールドの内容) を解析してセッションIDを得る。
2. セッションIDが有効なら認証ずみ。→会員ページへ遷移。
   セッションIDがないか無効なら、→ログインページへ遷移。ログインフォームを表示してユーザに入力させる。
3. ログインページでのフォーム入力を、CGI標準ライブラリの機能を使って取得する。
4. 取得したユーザ名とパスワードで認証を行う。
5. 認証成功なら、セッションIDを生成して (Set-Cookieレスポンスヘッダフィールドでクッキーをクライアントへ送る。→会員ページ (あるいはウェルカムページ) へ遷移。
   失敗なら、→最初に戻る。
6. 会員ページでは、セッションIDに基づいてユーザの情報を永続的データストアから取り出し、そのユーザ向けのサービスを提供する。

ログアウト処理も実装する必要があります。ログアウト対象のユーザのセッションIDを破棄 (無効化) することでログアウトが成立します。このとき、クッキー情報をクライアントから削除したりもします。

すべてのしくみを一から書く必要は必ずしもないです。標準ライブラリのほか、PyPiにあるいろいろな拡張ライブラリをインストールして使うこともできます (インストールはpipなどを使えば簡単です)。その他の便利なライブラリなどについてほかの方が回答してくれるかもしれません。

---

なお、余計なお世話かもしれませんが、フレームワークまかせにせず自分で書くということは、セキュリティホールにも自分で注意するということです。そのための学習はネットだけだと難しいので、書籍を読んだほうがいいと思います。たとえばこういったものがあります。

• 徳丸 浩『体系的に学ぶ 安全なWebアプリケーションの作り方』SBクリエイティブ、2011.
  例がPHPで書かれているのが難ですが、解説している内容はよいです。
• 情報処理推進機構『安全なウェブサイトの作り方』2016、7版.
  これを読んだだけで対策のとれたコードを書くのは難しいですが、どんなことがセキュリティホールを生み出してしまうのかは学べます。