¿Cómo hacer que la cookie de sesión de autenticación HttpOnly en pilones?

Question

Uso el módulo authkit con Pylons y veo que la cookie de sesión que establece (llamada acertadamente authkit) no está configurada para ser HttpOnly.

¿Hay una manera simple de hacerlo HttpOnly? (Por "simple" me refiero al que no implica piratear el código de authkit).

Answer 1

Esto no está documentado en authkit, porque solo comenzó a funcionar en Python 2.6 (consulte aquí ), pero si tienes Python 2.6, entonces

authkit.cookie.params.httponly = true

en la configuración debería funcionar y hacer lo que desee.

authkit usa internamente un Cookie.SimpleCookie , y eso es lo que limita las claves que puede tener para el authkit.cookie.params. - hasta Python 2.5 eran solo las claves admitidas por el estándar, RFC 2109 , pero en Python 2.6 las útiles < Se agregó la extensión code> httponly , que es la forma en que authkit obtuvo soporte para él automáticamente ... porque, muy correctamente, no realiza sus propias comprobaciones sino que delega todas las comprobaciones en SimpleCookie .

Si está atascado con Python 2.5 o anterior, entonces hacer que esto funcione requerirá un poco más de esfuerzo (no cambiar el authkit, pero monopatching Python de Cookie.py, o mejor, si es posible, instalar una versión más nueva de Cookie. py de las fuentes de Python 2.6 en un directorio anterior en sys.path que el directorio de la biblioteca estándar de Python).