2010-10-06 6 views
0

Чтобы сделать процесс регистрации на моем веб-сайте легким, я разрешаю пользователям вводить свой адрес электронной почты, который я вышлю код подтверждения, или, в качестве альтернативы, они могут решить капчу.Google App Engine (Python) - странное поведение REMOTE_ADDR

Проблема заключается в том, что для предотвращения регистрации роботами учетных записей (с поддельными сообщениями электронной почты) я ограничиваю количество разрешений на каждый IP-адрес, и если этот предел превышен, я вызываю предупреждение в журналах.

Однако ... похоже, что я использую os.environ ['REMOTE_ADDR'] для проверки удаленного адреса - но кажется, что я запускаю предупреждения по адресам, принадлежащим Google (66.249 .65.XXX). Возможно, это происходит только после того, как я изменил версию (но не подтвердил). Кто-нибудь знает, как и почему это может произойти? Разве REMOTE_ADDR не должен возвращать адрес клиентского компьютера (и, надеюсь, во всех случаях он это сделает)?

Мне любопытно, если происходит повторное прохождение за кулисами, и если это нормальное событие или если это происходит только при установке новой версии (возможно, когда установлена ​​новая версия исходного сервера, тогда проксирует пользователя на новый сервер, создавая иллюзию того, что IP-адрес является внутренним IP-адресом?)

+0

Я просто понял, что эта проблема также может быть вызвана искателями googles, которые обращаются к странице регистрации, к которой ранее обращались клиенты (потому что по причинам, по которым я не хочу входить, я передаю информацию регистрации на страницу с помощью GET вместо POST) - я не знаю, смогло ли это каким-то образом запустить сканеры, чтобы перейти на страницу регистрации на основе отзывов от браузеров или что-то еще - мне очень интересно узнать, что может произойти. –

ответ

0

Я считаю, что я выяснил причину появления стольких предупреждений с IP-адресов google-сервера. Кажется, что сразу после регистрации нового пользователя поисковые роботы google идут на одну и ту же (регистрационную) веб-страницу (которую я отправляю информацию как GET вместо POST по причинам, к которым я не буду входить). Конечно, поскольку многие пользователи регистрируются, но есть только несколько компьютеров-искателей, которые проверяют периодические обновления на моем веб-сайте, я запускаю предупреждающие сообщения о том, что определенный (google) IP неоднократно обращается к области регистрации.

+3

Выполнение не-идемпотентных запросов с использованием GET - ужасная идея, если вы не хотите, чтобы злоумышленники подписывали других людей на учетные записи, например, вставляя URL-адрес в тег изображения. –

+0

Я согласен с вами, я буду изучать его изменение в какой-то момент в будущем. Тем не менее, в то же время у меня есть ограничения на количество регистраций для данного IP-адреса, которые необходимо решить до того, как информация будет записана в базу данных (следовательно, использование GET), и проверка уникальности адреса электронной почты который регистрируется. –

Смежные вопросы