将纯文本密码与authenticate_or_request_with_http_digest一起使用

Question

我在尝试快速启动并运行 HTTP Digest 身份验证时遇到了一些困难，这与指南中的建议非常相似：

Ruby on Rails 指南：操作控制器概述 > HTTP 摘要身份验证

class ApplicationController < ActionController::Base
  protect_from_forgery

  USERS = { "sam" => "ruby" }

  before_filter :authenticate

private
  def authenticate
    authenticate_or_request_with_http_digest do |username|
      USERS[username]
    end
  end
end

我收到提示输入用户名和密码，尽管在输入上述内容时身份验证似乎失败并且再次收到提示。所以我开始深入研究验证请求的代码：

GitHub：http_authentication.rb > validate_digest_response

  def validate_digest_response(request, realm, &password_procedure)
    secret_key  = secret_token(request)
    credentials = decode_credentials_header(request)
    valid_nonce = validate_nonce(secret_key, request, credentials[:nonce])

    if valid_nonce && realm == credentials[:realm] && opaque(secret_key) == credentials[:opaque]
      password = password_procedure.call(credentials[:username])
      return false unless password

      method = request.env['rack.methodoverride.original_method'] || request.env['REQUEST_METHOD']
      uri    = credentials[:uri][0,1] == '/' ? request.fullpath : request.url

     [true, false].any? do |password_is_ha1|
       expected = expected_response(method, uri, credentials, password, password_is_ha1)
       expected == credentials[:response]
     end
    end
  end

我看不到它如何将密码处理为纯文本。如何设置password_is_ha1？我也对 any? 块如何工作感到有点困惑，这可能没有帮助:-/

就像快速说明：我知道我不应该真正以纯文本形式存储密码，并且在这样的源代码中。我只是想建立一个理解，稍后会重构它。

非常感谢您提前提供的所有帮助:-D

Answer 1

any? 方法的行为类似于 collect，只不过它在其块第一次返回 true 时返回 true。在这里，它的作用类似于数组 [true, false] 上的循环：

1. 该块首先在 password_is_ha1 设置为 true 的情况下运行。如果该块返回 true，any? 立即返回 true，并且由于这是 validate_digest_response 的最后一条语句，该方法作为一个整体返回 true。

2. 否则，该块将再次运行，并将 password_is_ha1 设置为 false。如果该块返回 true，any? 立即返回 true，并且由于这是 validate_digest_response 的最后一条语句，该方法作为一个整体返回 true。

3. 如果这两个运行都没有返回 true，则 any? 返回 false。由于这是 validate_digest_response 的最后一个语句，因此该方法作为一个整体返回 false。

因此，该行的作用是首先假设它是散列密码并检查它是否有效，然后假设它是明文密码并检查它是否有效。另一种更详细的写法是：

   expected = expected_response(method, uri, credentials, password, true)
   return true if expected == credentials[:response]

   expected = expected_response(method, uri, credentials, password, false)
   return true if expected == credentials[:response]

   return false