SECRET_KEY dan Cookie Bertanda Tangan

Secara bawaan, Flask menyimpan seluruh sesi di dalam cookie pada peramban pengguna, bukan di server Anda. Hal ini memiliki dampak besar.

Jika data berada di peramban, pengguna dapat mengubahnya. Flask mencegahnya dengan menandatangani cookie agar perubahan dapat terdeteksi.

Penandatanganan memerlukan rahasia. SECRET_KEY adalah nilai pribadi yang digunakan Flask untuk membubuhkan tanda dan memverifikasi setiap cookie sesi. 🔑

Sentuh sesi tanpa menetapkan SECRET_KEY, dan Flask akan memunculkan RuntimeError. Flask menolak menandatangani tanpa kunci.

Penting: cookie sesi bawaan ditandatangani, bukan dienkripsi. Siapa pun dapat membacanya, jadi jangan pernah menyimpan rahasia sebenarnya di dalamnya.

Pada setiap permintaan, Flask menghitung ulang tanda tangan dari cookie dan kunci. Ketidaksesuaian berarti ada pengubahan data, sehingga sesi ditolak.

SECRET_KEY yang kuat harus panjang dan sulit diprediksi. Buatlah dengan modul secrets, bukan dengan mengetik sebuah kata.

Jauhkan SECRET_KEY dari kendali sumber. Muat dari variabel lingkungan agar setiap penerapan memiliki nilainya sendiri.

Ubah SECRET_KEY, dan setiap tanda tangan sesi yang sudah ada tidak lagi cocok. Semua pengguna akan keluar sekaligus.

Menjalankan beberapa instans aplikasi di balik penyeimbang beban? Semuanya harus berbagi satu SECRET_KEY, atau masing-masing akan menolak cookie milik yang lain.

Memerlukan data sesi yang lebih besar atau tersembunyi? Ekstensi seperti Flask-Session menyimpannya di server dan hanya menyimpan id di dalam cookie.

Pikirkan hal yang sebenarnya dilindungi oleh cookie sesi Flask bawaan.

Anda melihat bahwa SECRET_KEY menandatangani cookie sesi untuk mendeteksi pengubahan data. Buat kunci itu panjang, muat dari lingkungan, dan jangan pernah memasukkannya ke repositori. 🔐