安全注意事项

跨站脚本攻击（XSS）¶

跨站脚本攻击是指在一个网站的环境中注入恶任意的 HTML （包括附带的 JavaScript ）。要防防御这种攻击，开发者需要正确地转义文本，使其不能包含恶 意的 HTML 标记。更多的相关信息请参维基百科上在文章： 跨站脚本 。

在 Flask 中，除非显式指明不转义， Jinja2 会自动转义所有值。这样可以排除所 有模板导致的 XSS 问题，但是其它地方仍需小心：

• 不使用 Jinja2 生成 HTML 。

• 在用户提交的数据上调用了 Markup 。

• 发送上传的 HTML ，永远不要这么做，使用 Content-Disposition: attachment 头部来避免这个问题。

• 发送上传的文本文件。一些浏览器基于文件开头几个字节来猜测文件的 content-type ，用户可以利用这个漏洞来欺骗浏览器，通过伪装文本文件来执 行 HTML 。

另一件非常重要的漏洞是不用引号包裹的属性值。虽然 Jinja2 可以通过转义 HTML 来保护你免受 XSS 问题，但是仍无法避免一种情况：属性注入的 XSS 。为了免受这 种攻击，必须确保在属性中使用 Jinja 表达式时，始终用单引号或双引号包裹:

<input value="{{ value }}">

为什么必须这么做？因为如果不这么做，攻击者可以轻易地注入自制的 JavaScript 处理器。例如一个攻击者可以注入以下 HTML+JavaScript 代码：

onmouseover=alert(document.cookie)

当用户鼠标停放在这个输入框上时，会在警告窗口里显示 cookie 信息。一个精明的 攻击者可能还会执行其它的 JavaScript 代码，而不是把 cookie 显示给用户。结合 CSS 注入，攻击者甚至可以把元素填满整个页面，这样用户把鼠标停放在页面上的任 何地方都会触发攻击。

有一类 XSS 问题 Jinja 的转义无法阻止。 a 标记的 href 属性可以包含 一个 javascript: URI 。如果没有正确保护，那么当点击它时浏览器将执行其代 码。

<a href="{{ value }}">click here</a>
<a href="javascript:alert('unsafe');">click here</a>

为了防止发生这种问题，需要设置 Content Security Policy (CSP) 响应头部。

跨站请求伪造（ CSRF ）¶

另一个大问题是 CSRF 。这个问题非常复杂，因此我不会在此详细展开，只是介绍 CSRF 是什么以及在理论上如何避免这个问题。

如果你的验证信息存储在 cookie 中，那么你就使用了隐式的状态管理。“已登入” 这个状态由一个 cookie 控制，并且这个 cookie 在页面的每个请求中都会发送。不 幸的是，在第三方站点发送的请求中也会发送这个 cookie 。如果你不注意这点，一 些人可能会通过社交引擎来欺骗应用的用户在不知情的状态下做一些蠢事。

假设你有一个特定的 URL ，当你发送 POST 请求时会删除一个用户的资料（例 如 http://example.com/user/delete ） 。如果一个攻击者现在创造一个页面 并通过页面中的 JavaScript 发送这个 post 请求，只要诱骗用户加载该页面，那么 用户的资料就会被删除。

设象在有数百万的并发用户的 Facebook 上，某人放出一些小猫图片的链接。当用户 访问那个页面欣赏毛茸茸的小猫图片时，他们的资料就被删除了。

那么如何预防这个问题呢？基本思路是：对于每个要求修改服务器内容的请求，应该 使用一次性令牌，并存储在 cookie 里， 并且 在发送表单数据的同时附上它。 在服务器再次接收数据之后，需要比较两个令牌，并确保它们相等。

为什么 Flask 没有替你做这件事？因为这应该是表单验证框架做的事，而 Flask 不 包括表单验证。

JSON 安全¶

Flask 0.10 版和更低版本中， jsonify() 没序列化顶层数组为 JSON 。这是因为 ECMAScript 4 存在安全漏洞。

ECMAScript 5 关闭了这个漏洞，所以只有非常老的浏览器仍然脆弱，而且还有 其他更严重的漏洞 。 因此，这个行为被改变了，并且 jsonify() 现在支持了序列化数据。

安全头部¶

为了控件安全性，浏览器识别多种头部。我们推荐检查应用所使用的以下每种头部。 Flask-Talisman 扩展可用于管理 HTTPS 和安全头部。

response.headers['Strict-Transport-Security'] = 'max-age=31536000; includeSubDomains'

response.headers['Content-Security-Policy'] = "default-src 'self'"

response.headers['X-Content-Type-Options'] = 'nosniff'

response.headers['X-Frame-Options'] = 'SAMEORIGIN'

response.headers['X-XSS-Protection'] = '1; mode=block'

app.config.update(
    SESSION_COOKIE_SECURE=True,
    SESSION_COOKIE_HTTPONLY=True,
    SESSION_COOKIE_SAMESITE='Lax',
)

response.set_cookie('username', 'flask', secure=True, httponly=True, samesite='Lax')

# cookie expires after 10 minutes
response.set_cookie('snakes', '3', max_age=600)

app.config.update(
    PERMANENT_SESSION_LIFETIME=600
)

@app.route('/login', methods=['POST'])
def login():
    ...
    session.clear()
    session['user_id'] = user.id
    session.permanent = True
    ...