サーバーから他人の書類が返らないことを確かめる

今回の練習サーバーは、架空の本人・他人・未ログインの要求を作って比べます。config.jsonのownerCheckは持ち主の確認をするかの設定です。サーバーは書類を返す前にこの確認を行います。

この課題は本物の認証システムを作るものではありません。実際には利用者IDを勝手に名乗らせず、認証して確認済みの情報を使います。ブラウザーのリンクを隠すだけでは直接の要求を防げません。

exercise.pyは自分のパソコンの127.0.0.1にサーバーを立て、本人・他人・未ログインの要求を送ります。result.jsonでは、それぞれの要求に返った番号を読みます。

修正するファイルはconfig.jsonです。JavaScriptの判断コードをAPIへ投稿する方式ではありません。ownerCheckを変更して保存し、同じPythonを再実行します。

今回のサーバーは、X-Demo-Userという教材用ヘッダーがなければ401を返します。持ち主の確認が有効な場合、他人には403、本人には200と架空の書類を返します。このヘッダーは本物の認証を代行するものではありません。

404は対象がない場合などに使います。実サービスでは存在を隠すため、許可のない相手にも404を返す場合があります。今回の書類への三要求は200・403・401を比較します。

拒否した番号だけで安心せず、本文にも書類を入れていないことをrespondの呼出しで読みます。拒否すると言いながら書類を送ってしまえば、情報は見られてしまいます。

すべてを拒否するだけでは本人も書類を使えません。この課題では本人200、他人403、未ログイン401を一緒に確かめます。応答番号だけでなく、拒否した相手へ書類を返さないこともサーバーのコードで確認します。

会社や管理者の条件は前の節で扱いました。停止中の利用者や公開済み書類などは実際のサービスの追加仕様であり、この課題の別の独力確認ではありません。

config.jsonに書くtrueは持ち主を確認する指定、falseは確認を省く指定です。文字列の"true"ではなく、引用符のない真偽値を使います。exercise.pyにある条件が設定を読み、要求ごとの応答を返します。

ここでは配布したPythonを端末で動かします。以前の画面内エディターの命令制限やWorkerの説明は、この端末実習の実行環境ではありません。実在するデータや自由な接続先を入れず、配布した架空例の範囲で確かめます。

変更前の結果を先に記録します。修正して再実行したら、最新のresult.jsonとconfig.json、観察した違いと理由を提出します。提出結果は本人が送った記録の照合であり、サーバーが学習者のコードを別の環境で実行した証拠ではありません。

準備の失敗と内容の誤りを分けて確認し、指摘があれば同じファイルを直します。過去の提出は残るので、どこを修正したかを比較できます。