Flask秘密鍵ジェネレータ

何も伝わらないからここにある。キーは、オペレーティング システムが使用するものと同じ暗号ジェネレーターであるブラウザー内の crypto.getRandomValues によって生成され、ネットワークにはアクセスされません。インターネットから切断してもこのページは引き続き機能します。これがそれを証明する最も簡単な方法です。

Flask のセッション Cookie は、このキーを使用して暗号化ではなく署名されます。これを保持している人は誰でも、セッションの内容を読み取り、任意のユーザーに対して有効なセッションを偽造できるため、リークを完全な認証バイパスとして扱い、すぐにローテーションします。

はい。開発、ステージング、実稼働にはそれぞれ独自のキーが必要です。共有するということは、どこでもリークが発生し、どこでも侵害されることを意味し、ステージングで作成されたトークンが本番環境に対してリプレイされることになります。

ソース管理ではなく、環境変数またはシークレット マネージャー内で。最初のコミットの前に、.env ファイルを .gitignore に追加します。シークレットが git 履歴に保存されると、後で削除しても漏洩は解除されず、キーをローテーションする必要があります。

はい。 Windows、Mac、Linux、iPhone、Android 上の最新のブラウザで実行でき、何もインストールする必要はなく、アカウントも必要ありません。 Chrome、Edge、Firefox、Safari はすべてサポートされています。