Ein Fingerabdruck für einen Body

Ein Client, der die Bücherliste von gestern aufbewahrt hat, will eine Sache wissen: Ist die Liste, die der Server jetzt senden würde, dieselbe wie die, die er hat? Der direkte Weg, das herauszufinden, ist, die beiden Bodys zu vergleichen, und dafür braucht es den Body des Servers, also genau den Download, den der Client vermeiden wollte. Was beide Seiten brauchen, ist etwas viel Kleineres, das für die Bytes steht: ein Wert, der immer gleich ist, wenn die Bytes gleich sind, und verschieden, sobald sich irgendein Byte unterscheidet. Dann kann der Client diesen Wert senden, und der Server kann ihn mit dem Wert dessen vergleichen, was er jetzt senden würde.

Dieser Wert ist ein Fingerabdruck des Bodys, und Python berechnet einen mit einem Modul aus der Standardbibliothek.

Das Modul hashlib

hashlib macht aus beliebigen Bytes einen Digest: einen kurzen Wert fester Größe, berechnet aus jedem Byte. hashlib.sha256(body) liest die Bytes in body und gibt ein Hash-Objekt zurück, und das Objekt gibt dir seinen Digest in zwei Formen:

• .hexdigest() gibt einen str aus 64 hexadezimalen Zeichen zurück, den Ziffern 0 bis 9 und den Buchstaben a bis f. Solcher Text kann so, wie er ist, in einen Header.

• .digest() gibt denselben Wert als 32 rohe Bytes zurück. Jedes Byte wird in der anderen Form als zwei Hex-Zeichen geschrieben, und deshalb werden aus 32 Bytes 64 Zeichen.

SHA-256 ist der Name des Algorithmus. Egal wie groß die Eingabe ist, ein leerer Body oder eine ganze Bibliothek, der Digest hat dieselbe Größe. Zwei Eigenschaften machen ihn hier nützlich. Dieselben Bytes ergeben immer denselben Digest, auf jedem Rechner und in jedem Python-Lauf. Und eine Änderung eines einzigen Bytes ergibt einen Digest, der mit dem alten sichtbar nichts gemeinsam hat. Der Digest identifiziert die Bytes nur: Nichts in seinen 64 Zeichen lässt jemanden den Body wiederherstellen. Hier sind zwei Bodys, die sich um ein Leerzeichen unterscheiden:

import hashlib

for body in [b'{"books": []}', b'{"books": [ ]}']:
    print(hashlib.sha256(body).hexdigest())

e72c4626ea5e221c238f01d50feff3d7007992fb3447610eaee3ee661310f6af
2d0190243f5b7e60660f91e4aace542f2e2a0de3c2dc923a01d05263c7333624

Ein JSON-Parser liest beide Bodys als dieselben Daten. Die Digests unterscheiden sich trotzdem, weil ein Digest Bytes sieht, keine Bedeutung. Das ist das richtige Verhalten für einen Fingerabdruck einer Antwort: Der Client hat Bytes, und die Frage ist, ob der Server dieselben Bytes senden würde.

hashlib.sha256 nimmt Bytes, nie einen str. Die Bodys deines Servers sind bereits Bytes, gebaut von json_response mit .encode("utf-8"), also können sie direkt hinein.

import hashlib

print(len(hashlib.sha256(b"x").hexdigest()), len(hashlib.sha256(b"x").digest()))

Ein Tag steht in Anführungszeichen

In HTTP heißt dieser Fingerabdruck Entity-Tag und wird in einem Header namens ETag gesendet. Sein Wert hat eine feste Form (RFC 9110, Abschnitt 8.8.3): die Zeichen des Tags zwischen doppelten Anführungszeichen, und die Anführungszeichen gehören zum Wert. Ein Server, dessen Digest e72c...f6af ist, sendet:

etag: "e72c4626ea5e221c238f01d50feff3d7007992fb3447610eaee3ee661310f6af"

Ein genau so geschriebenes Tag ist ein starkes Tag: Es verspricht, dass zwei Antworten mit demselben Tag dieselben Bytes haben. Ein Tag kann auch mit W/ beginnen, wie in W/"e72c...". Das kennzeichnet ein schwaches Tag, das weniger verspricht: Die beiden Antworten bedeuten dasselbe, auch wenn sich ihre Bytes unterscheiden können, zum Beispiel bei einer Seite, deren einzige Änderung ein Zeitstempel in einem Kommentar ist. Das Tag deines Servers kommt aus den genauen Bytes, also ist es stark, und er sendet nie W/. In Lektion 4 lernt dein Server, W/ zu lesen, wenn ein Client es zurücksendet.

Nicht Pythons hash()

Python hat auch ein eingebautes hash(), und das ist hier verlockend. Es gibt für einen Wert eine ganze Zahl zurück, und gleiche Werte in einem Programm bekommen gleiche Zahlen. Aber bei str und bytes ändert sich die Zahl von einem Python-Lauf zum nächsten. Führ python -c 'print(hash(b"abc"))' zweimal in deinem Terminal aus, und die beiden Zahlen unterscheiden sich, außer Python wurde mit der Umgebungsvariable PYTHONHASHSEED auf einen festen Wert gestartet, was die Zahl festlegt. Das ist Absicht: Es macht es schwerer, Eingaben zu bauen, die Pythons Dictionaries ausbremsen.

Ein Tag muss einen Lauf überdauern. Ein Client kann ein Tag stundenlang behalten, während der Server neu startet, und ein altes Tag muss, wenn es zurückkommt, immer noch dieselben Bytes benennen. Ein SHA-256-Digest tut das, weil er von nichts als den Bytes abhängt.

Deine Aufgabe

Schreib in reading_server.py make_etag(body). Es nimmt die Bytes des Bodys und gibt das starke Tag als str zurück: ein doppeltes Anführungszeichen, den SHA-256-Hex-Digest des Bodys und ein doppeltes Anführungszeichen. reading_server.py importiert hashlib bereits. Eine Zeile reicht.

Noch ruft nichts make_etag auf; Lektion 3 setzt sein Tag auf jede Antwort. Du kannst es jetzt ausprobieren. Starte Python im Terminal, im Projektordner:

python

Importiere dann dein Modul und ruf die Funktion mit zwei Bodys auf, die sich um ein Byte unterscheiden:

>>> import reading_server
>>> reading_server.make_etag(b"Kindred")
'"213c649df845274f0590aae4a97f84eb72a8935662c6fb10c7a63bda2e69549f"'
>>> reading_server.make_etag(b"Kindred!")
'"fc29d1d0143aae9c48c2ab38f15c87e99a4345712343322b8d0d8924a63ce456"'

Die äußeren einfachen Anführungszeichen sind die Art, wie Python einen str anzeigt; die doppelten Anführungszeichen darin sind Teil des Tags. Ein hinzugefügtes Byte ergibt ein völlig anderes Tag, und jedes Tag ist mit seinen Anführungszeichen 66 Zeichen lang. Gib exit() ein, um Python zu verlassen, und drück dann Check my work.

Dieselben Werkzeuge kommen in einem späteren Kurs dieser Reihe wieder, WebSockets with Python, der geplant ist. Sein eröffnender Handshake hasht einen Schlüssel mit hashlib und sendet die digest()-Bytes in Base64, der Kodierung, die du in Kapitel 7 gelernt hast. Hier sendet die nächste Lektion dein Tag auf jeder Antwort, die dein Server auf einen Lesezugriff gibt.