Python Web开发安全最佳实践

本文详细介绍Python Web开发中的安全最佳实践，帮助开发者构建安全可靠的Web应用程序。

1. 输入验证和清理

始终验证和清理用户输入：

# 使用WTForms进行表单验证
from wtforms import Form, StringField, validators

class RegistrationForm(Form):
    username = StringField('Username', [validators.Length(min=4, max=25)])
    email = StringField('Email', [validators.Email()])
    password = StringField('Password', [validators.Length(min=6)])

# 手动输入清理
def sanitize_input(user_input):
    # 移除危险字符
    dangerous_chars = ['<', '>', '&', '\"', '\'']
    for char in dangerous_chars:
        user_input = user_input.replace(char, '')
    return user_input

2. SQL注入防护

使用参数化查询防止SQL注入：

# 使用SQLAlchemy ORM
from sqlalchemy import create_engine, text

engine = create_engine('postgresql://user:pass@localhost/db')

# 安全的参数化查询
with engine.connect() as conn:
    result = conn.execute(
        text("SELECT * FROM users WHERE username = :username"),
        {"username": user_input}
    )

# 避免字符串拼接
# BAD: query = f"SELECT * FROM users WHERE username = '{user_input}'"

3. XSS防护

防止跨站脚本攻击：

# Flask中启用自动转义
from flask import Flask, escape

app = Flask(__name__)

@app.route('/user/')
def hello(name):
    # 自动转义HTML特殊字符
    return f'Hello {escape(name)}!'

# 使用Jinja2模板的自动转义
# {% autoescape true %}
#   {{ user_input }}
# {% endautoescape %}

4. CSRF防护

防止跨站请求伪造：

# Flask-WTF CSRF保护
from flask_wtf.csrf import CSRFProtect

csrf = CSRFProtect(app)

# 在模板中包含CSRF令牌
# <form method="post">
#   {{ form.hidden_tag() }}
#   {{ form.username }}
#   {{ form.password }}
#   <input type="submit" value="Submit">
# </form>

5. 密码安全

安全的密码存储：

# 使用bcrypt哈希密码
import bcrypt

def hash_password(password):
    salt = bcrypt.gensalt()
    hashed = bcrypt.hashpw(password.encode('utf-8'), salt)
    return hashed

def verify_password(password, hashed):
    return bcrypt.checkpw(password.encode('utf-8'), hashed)

# 永远不要明文存储密码

6. 会话安全

安全的会话管理：

# Flask会话安全配置
app.config.update(
    SECRET_KEY='your-secret-key-here',
    SESSION_COOKIE_SECURE=True,  # HTTPS only
    SESSION_COOKIE_HTTPONLY=True,  # Prevent JavaScript access
    SESSION_COOKIE_SAMESITE='Lax'  # CSRF protection
)

7. 安全头设置

添加安全HTTP头：

# Flask-Talisman安全头
from flask_talisman import Talisman

Talisman(app,
    force_https=True,
    strict_transport_security=True,
    content_security_policy={
        'default-src': "'self'",
        'script-src': "'self' 'unsafe-inline'",
        'style-src': "'self' 'unsafe-inline'",
    }
)

8. 依赖安全

保持依赖更新：

# 使用pip-audit检查漏洞
pip install pip-audit
pip-audit

# 使用safety检查
pip install safety
safety check

# 定期更新依赖
pip list --outdated
pip install --upgrade package_name

9. 日志安全

安全的日志记录：

# 避免在日志中记录敏感信息
import logging

logger = logging.getLogger(__name__)

# GOOD: 记录事件，不记录密码
logger.info(f"User {username} logged in successfully")

# BAD: 不要记录密码或token
# logger.info(f"Login attempt with password: {password}")