Nginx логгирут пароли в POST

Question

[korjik]

Привет!

Стоит nginx + passenger с дефолтными настройками логов. Почему-то в логах сохраняются данные типа:

[24/Feb/2012:10:07:59 +0000] «POST /users/authenticate.xml?login=korjik&owner_id=1&password=password HTTP/1.1»

Перерыл гугл, чтоб избавиться от этого. Что посоветуете?

Comments

[korjik]

Отбой. Это баг. Nginx логгирует post как get — так ведёт себя приложение.

[homm]

Nginx не может логировать post как get. У вас там явно написано, что это post-запрос. И у него есть query-string (это способ передачи get-параметров), что не означает что он post.

Answer 1

[VBart]

Очевидно потому, что пароли были переданы не в post body, а в качестве uri-аргументов.

Answer 2

[Defined]

Лучше вообще хэшированные пароли передавать, еще и с солью внутри.

Comments

[Анатолий]

Какой смысл в хеше, если потом надо логинить пользователя? А если тупо хеш сверять, полученный от клиента, то какой смысл вообще хешировать, если он будет выступать в роли открытого пароля?

[Виталий Перетятько]

человек между прочим дело говорит. сервер вместе с формой логина передает «соль» — случайную строку, в браузере JS берет хеш от пароля+соли и посылает его на сервер, где сервер его проверяет со своим паролем + соль (он ее должен запомнить скажем в сессии). Таким образом пароль никогда не передается в открытом виде.

[havelock]

можете подсказать хорошее и лёгкое решение для MD5-хеширования в браузере, чтобы не писать велосипед?

Answer 3

[pel]

Отключить логирование — вариант?
wiki.nginx.org/NginxHttpLogModule#access_log

Или, может, изменить формат логов подойдет?
wiki.nginx.org/NginxHttpLogModule#log_format