如何配置拇指安全？

Posted 2023-02-25

【中文标题】如何配置拇指安全？

【英文标题】：How can I configure the thumbor security?

【发布时间】：2018-05-10 06:26:26

【问题描述】：

我已经用 docker 容器在我的 ubuntu 上安装了 thumbor 6.3.2。

我正在尝试检查安全配置。但我失败了。 下面是我的 /etc/thumbor.conf

SECURITY_KEY = "abcde"
ALLOW_UNSAFE_URL = False

我试过了

thumbor -l INFO -p 8000 -c /etc/thumbor.conf

然后我发送了

/abcde/300x300/image.jpg

但它失败了。

奇怪的是，

/unsafe/300x300/image.jpg

成功了。

【问题讨论】：

愿维基能帮助你：github.com/thumbor/thumbor/wiki/Security

【参考方案1】：

我可以使用 SECURITY_KEY 设置拇指。

我开始使用 thumbor docker 图像，例如：

docker run -p 8000:8000 -e SECURITY_KEY=test -e ALLOW_UNSAFE_URL=False apsl/thumbor

并从互联网上随机挑选了一张图片 - https://rak-posts.s3.amazonaws.com/images/2943/large_rak_day.png

然后我使用以下python代码生成base64.urlsafe_b64encode签名：

>>> message = "1000x1000/https://rak-posts.s3.amazonaws.com/images/2943/large_rak_day.png"
>>> b_message = bytes(message)
>>> b_key = bytes("test")
>>> import hmac
>>> import hashlib
>>> digester = hmac.new(b_key, b_message, hashlib.sha1)
>>> signature = digester.digest()
>>> import base64
>>> url_safe_sign = base64.urlsafe_b64encode(signature)
>>> url_safe_sign
'_gcJOPfrByOrMqDekEool4uKYKE='
>>>

并像这样进行 URL 调用 - http://localhost:8000/_gcJOPfrByOrMqDekEool4uKYKE=/1000x1000/https://rak-posts.s3.amazonaws.com/images/2943/large_rak_day.png - 它按预期工作。

而且不安全的 URL - http://localhost:8000/unsafe/1000x1000/https://rak-posts.s3.amazonaws.com/images/2943/large_rak_day.png - 不再起作用了。

如果有帮助，请告诉我。

谢谢， 侯赛因·博拉