WSGI/Django: Benutzername zurück an Apache für Zugriffsprotokoll übergeben

Question

Meine Django-App, die in mod_wsgi unter Apache mit dem Standard-WSGIHandler von Django implementiert wurde, authentifiziert Benutzer über Formularanmeldung auf der Django-Seite. Also für Apache ist der Benutzer anonym. Dies macht das Apache-Zugriffsprotokoll weniger nützlich.

Gibt es eine Möglichkeit, den Benutzernamen nach der Verarbeitung der Anfrage über den WSGI-Wrapper an Apache zurückzugeben, sodass er im Apache-Zugriffsprotokoll angezeigt wird?

(Versionen: Django 1.1.1, mod_wsgi 2.5, Apache 2.2.9)

Answer 1

Sie können dies nur tun, wenn Sie den eingebetteten Modus verwenden und nur, wenn Sie ein separates Paket namens apswigpy verwenden, das eine Python-Bindung für das ursprüngliche Apache-Anforderungsobjekt bereitstellt. Das mod_wsgi-Paket bietet einen optionalen Mechanismus, mit dem das ursprüngliche Apache-Anforderungsobjekt als Python-CObject-Referenz in der WSGI-Umgebung übergeben werden kann. Sie verwenden, die in Verbindung mit apswigpy so etwas wie:

from apache.httpd import request_rec 
r = request_rec(environ['apache.request_rec']) 
r.user = user 

Zumindest glaube ich das wird Setup die entsprechenden Informationen, die Protokollierung zugreifen können dann verwendet werden.

Sie sollten diese Diskussion wirklich zur mod_wsgi Mailingliste führen.

Answer 2

Dies ist wahrscheinlich nicht das, was Sie erwarten, aber man konnte den Benutzernamen in der URL-Schema verwenden. Auf diese Weise befindet sich der Benutzer im Pfadbereich Ihrer Apache-Protokolle.

Sie müssten Ihre Authentifizierung so ändern, dass auth erforderliche Antworten in den Apache-Protokollen offensichtlich sind. Andernfalls können Sie beim Anzeigen der Protokolle nicht authentifizierte Anfragen authentifizierten Benutzern zuordnen. Z.B. eine temporäre Weiterleitung an die Anmeldeseite zurückgeben, wenn die Anfrage nicht authentifiziert ist.

Answer 3

Sie könnten mod_auth_tkt verwenden. Ein auth_tkt ist ein signiertes Cookie mit der Benutzer-ID, die Apache verstehen kann. Ihre Webanwendung müsste set the cookie sein, wenn sich der Benutzer an- und abmeldet. Apache kann REMOTE_USER aus dem Cookie ableiten, es an Ihre Web-App oder eine Nicht-Django-Webanwendung, die auf demselben Server läuft, übergeben, es in Logs aufnehmen, was auch immer.

Answer 4

Korrigieren Sie mich, wenn ich falsch liege, aber was Sie daran hindert, eine benutzerdefinierte Middleware zu erstellen, die ein Cookie gleich dem Anzeigenamen des angemeldeten Benutzers setzt. Diese Middleware wird auf jeder Ansicht ausgeführt, obwohl technisch gesehen Der Benutzer könnte seinen Benutzernamen fälschen, um anzuzeigen, was immer er anzeigen möchte, er wird nur zurückgesetzt und es ist nicht wie ein Sicherheitsrisiko, da der Benutzername selbst nur für Protokollzwecke gedacht ist und überhaupt nicht mit dem angemeldeten Benutzer zusammenhängt. Dies scheint eine einfache Lösung zu sein, und dann kann Apache Log auf Cookies zugreifen, so dass Sie den einfachsten Zugriff haben. Ich weiß, dass manche Leute die Vorstellung nicht mögen würden, dass ein bestimmter Benutzer seinen eigenen Benutzernamen spoofiert, aber ich denke, das ist die trivialste Lösung, die den Job erledigt. Vor allem in meinem Fall, wenn es eine iPhone-App ist und der Benutzer keinen direkten Zugang zu einer JavaScript-Konsole oder den Cookies selbst hat.