《Python實戰進階》No 10：基于Flask案例的Web 安全性：防止 SQL 注入、XSS 和 CSRF 攻擊

第10集：Web 安全性：防止 SQL 注入、XSS 和 CSRF 攻擊

在現代 Web 開發中，安全性是至關重要的。無論是用戶數據的保護，還是系統穩定性的維護，開發者都需要對常見的 Web 安全威脅有深刻的理解，并采取有效的防護措施。本集聚焦于三種最常見的 Web 安全威脅：SQL 注入、跨站腳本攻擊（XSS）和跨站請求偽造（CSRF），通過一個加固前帶有漏洞的代碼案例，和一個加固后補全漏洞的代碼案例，幫助讀者深刻認識如何在 Python Web 應用中防范這些攻擊。

在這里插入圖片描述

一、SQL 注入攻擊及其防御

1. 什么是 SQL 注入？
SQL 注入是一種利用應用程序未能正確過濾用戶輸入的漏洞，通過注入惡意 SQL 查詢語句來操縱數據庫的行為。攻擊者可以借此獲取敏感信息、篡改數據，甚至刪除整個數據庫。

2. 防御 SQL 注入的關鍵策略

參數化查詢：這是最基礎也是最有效的防范措施。參數化查詢將用戶輸入的數據與 SQL 命令分開，避免了惡意輸入被解釋為 SQL 指令。

# 使用 SQLAlchemy 的參數化查詢示例
from sqlalchemy import text
query = text("SELECT * FROM users WHERE username = :username")
result = db.execute(query, {"username": user_input})

最小權限原則：限制數據庫用戶的權限，確保即使攻擊者成功注入 SQL 語句，也無法對數據庫造成嚴重破壞。
輸入驗證和過濾：對用戶輸入進行嚴格的驗證，確保其符合預期格式和類型。
使用 Web 應用防火墻（WAF）：部署 WAF 可以檢測并阻止潛在的 SQL 注入攻擊。

二、跨站腳本攻擊（XSS）及其防御

1. 什么是 XSS 攻擊？
XSS（Cross-Site Scripting）是指攻擊者通過在 Web 頁面中插入惡意腳本代碼，當其他用戶瀏覽該頁面時，惡意腳本會在用戶的瀏覽器上執行，從而竊取用戶信息或實施其他惡意行為。

2. XSS 的常見類型

存儲型 XSS：惡意腳本被永久存儲在目標服務器上（如數據庫），并通過正常頁面加載傳播給其他用戶。
反射型 XSS：惡意腳本通過 URL 參數傳遞，并在頁面加載時直接執行。
DOM 型 XSS：攻擊發生在客戶端，不涉及服務器端的處理。

3. 防御 XSS 的關鍵策略

輸入驗證：確保用戶輸入的內容符合預期格式，并拒絕任何包含非法字符的輸入。

輸出編碼：在將用戶輸入的內容返回到前端時，對其進行 HTML 編碼，防止惡意腳本被執行。

# 使用 Django 的 escape 函數對輸出進行編碼
from django.utils.html import escape
safe_output = escape(user_input)

啟用內容安全策略（CSP）：通過 HTTP 頭部設置 CSP，限制頁面中可以加載的資源來源，減少 XSS 攻擊的可能性。

三、跨站請求偽造（CSRF）及其防御

1. 什么是 CSRF 攻擊？
CSRF（Cross-Site Request Forgery）是指攻擊者誘導用戶訪問惡意網站，然后利用用戶的已登錄狀態向目標網站發起未經授權的請求。例如，攻擊者可能通過偽造表單提交操作，導致用戶無意中修改賬戶信息或轉賬資金。

2. 防御 CSRF 的關鍵策略

使用 CSRF Token：在表單中嵌入一個隨機生成的 Token，并在服務器端驗證該 Token 是否合法。這樣可以確保請求是由合法用戶發起的。

# Flask-WTF 自動生成 CSRF Token 示例
from flask_wtf.csrf import CSRFProtect
app = Flask(__name__)
app.config['SECRET_KEY'] = 'your_secret_key'
csrf = CSRFProtect(app)

檢查 Referer 頭部：驗證請求是否來自合法的源地址。
SameSite Cookie 屬性：通過設置 Cookie 的 SameSite 屬性為 Strict 或 Lax，限制 Cookie 在跨站請求中的發送。

四、總結與最佳實踐

以下是一個基于 Flask 的完整案例，綜合運用 SQL 注入、XSS 和 CSRF 的防御技術，并結合知識庫中的參考資料進行說明。

案例：用戶注冊與登錄系統（安全加固版）

1. 項目結構

myapp/
├── app.py          # 主程序
├── models.py       # 數據庫模型
├── templates/
│   ├── register.html
│   ├── login.html
│   └── profile.html
└── requirements.txt

2. 核心代碼實現

2.1 防止 SQL 注入
使用 SQLAlchemy 的參數化查詢，避免直接拼接 SQL 語句。

# models.py
from flask_sqlalchemy import SQLAlchemydb = SQLAlchemy()class User(db.Model):id = db.Column(db.Integer, primary_key=True)username = db.Column(db.String(80), unique=True, nullable=False)password = db.Column(db.String(120), nullable=False)

錯誤示例（直接拼接 SQL）：

# 危險！容易被 SQL 注入
query = f"SELECT * FROM users WHERE username = '{user_input}'"

正確示例（參數化查詢）：

# app.py
from models import User@app.route('/login', methods=['POST'])
def login():username = request.form['username']user = User.query.filter_by(username=username).first()  # 安全查詢# ...后續驗證邏輯

2.2 防止 XSS 攻擊
在模板中自動轉義用戶輸入。

<!-- templates/profile.html -->
<!-- 使用 Jinja2 的自動轉義功能 -->
<p>歡迎, {{ user.username | safe }}!</p>  <!-- 錯誤：禁用轉義會引發 XSS -->
<p>歡迎, {{ user.username }}!</p>         <!-- 正確：默認自動轉義 -->

手動防御：在視圖函數中對輸出編碼：

from markupsafe import escape@app.route('/profile/<username>')
def profile(username):safe_username = escape(username)  # 轉義特殊字符return render_template('profile.html', username=safe_username)

2.3 防止 CSRF 攻擊
使用 Flask-WTF 生成和驗證 CSRF Token。

# app.py
from flask_wtf.csrf import CSRFProtectapp = Flask(__name__)
app.config['SECRET_KEY'] = 'your-secret-key'
csrf = CSRFProtect(app)  # 啟用全局 CSRF 保護@app.route('/register', methods=['GET', 'POST'])
def register():form = RegistrationForm()  # 繼承自 FlaskFormif form.validate_on_submit():# 處理注冊邏輯return render_template('register.html', form=form)

<!-- templates/register.html -->
<form method="POST">{{ form.hidden_tag() }}  <!-- 自動生成 CSRF Token -->{{ form.username.label }} {{ form.username() }}{{ form.password.label }} {{ form.password() }}<input type="submit" value="注冊">
</form>

3. 綜合防御策略

輸入驗證：使用 WTForms 對用戶名和密碼格式進行校驗。

from wtforms import StringField, PasswordField
from wtforms.validators import DataRequired, Lengthclass RegistrationForm(FlaskForm):username = StringField('用戶名', validators=[DataRequired(), Length(max=80)])password = PasswordField('密碼', validators=[DataRequired(), Length(min=8)])

內容安全策略（CSP）
通過 HTTP 頭限制腳本來源：

@app.after_request
def set_csp(response):response.headers['Content-Security-Policy'] = "default-src 'self'; script-src 'self'"return response

SameSite Cookie 屬性
防止跨站請求攜帶 Cookie：
```
app.config['SESSION_COOKIE_SAMESITE'] = 'Lax'
```

4. 測試與驗證

SQL 注入測試：嘗試輸入 ' OR 1=1--，驗證是否無法繞過登錄。
XSS 測試：輸入 <script>alert('xss')</script>，驗證是否被轉義。
CSRF 測試：使用 Postman 直接提交表單，驗證是否因缺少 Token 被攔截。

以下通過兩套正反代碼及攻擊代碼示例，讓讀者更深刻認識本文內容。

login.html 代碼

<!-- templates/login.html -->
<!DOCTYPE html>
<html>
<head><title>登錄</title>
</head>
<body><h2>用戶登錄</h2><form method="POST">{{ form.hidden_tag() }}  <!-- CSRF Token --><div>{{ form.username.label }}<br>{{ form.username(size=32) }}</div><div>{{ form.password.label }}<br>{{ form.password(size=32) }}</div><div><input type="submit" value="登錄"></div></form>
</body>
</html>

完整代碼示意：無防護措施的代碼及攻擊示例

1.1 存在漏洞的代碼（SQL 注入 + XSS）

# app.py（錯誤示例）
from flask import Flask, request, render_template_stringapp = Flask(__name__)# 模擬用戶數據庫
users = {"admin": "admin123"
}@app.route('/login', methods=['GET', 'POST'])
def login():if request.method == 'POST':username = request.form['username']password = request.form['password']# 危險！直接拼接 SQL 查詢（假設使用 SQLite）query = f"SELECT * FROM users WHERE username = '{username}' AND password = '{password}'"# 模擬查詢結果（實際場景中可能直接執行 SQL）if username in users and users[username] == password:return f"歡迎，{username}！"  # 未轉義輸出，存在 XSSelse:return "登錄失敗"return render_template_string('''<form method="POST">用戶名：<input type="text" name="username"><br>密碼：<input type="password" name="password"><br><input type="submit" value="登錄"></form>''')

1.2 攻擊示例

SQL 注入攻擊：
輸入用戶名為 admin’ OR ‘1’ = '1，密碼任意(假設為 a_random_password)，此時完美繞過驗證并執行了查詢語句：
```
SELECT * FROM users WHERE username = 'admin'  OR  '1' = '1' AND password = 'a_random_password'
```
后果：攻擊者無需密碼即可登錄任意賬戶。
XSS 攻擊：
輸入用戶名為 <script>alert('XSS')</script>，密碼任意：
```
return f"歡迎，{username}！"  # 未轉義輸出
```
后果：惡意腳本在用戶瀏覽器執行，竊取 Cookie 或重定向到釣魚網站。

完整代碼示意：有防護措施的代碼及成功防御

2.1 安全加固的代碼

# app.py（正確示例）
from flask import Flask, request, render_template
from flask_wtf.csrf import CSRFProtect
from wtforms import StringField, PasswordField, validators
from werkzeug.security import check_password_hash
from models import User  # 假設使用 SQLAlchemy 模型app = Flask(__name__)
app.config['SECRET_KEY'] = 'your-secret-key'
csrf = CSRFProtect(app)  # 啟用 CSRF 保護class LoginForm(FlaskForm):username = StringField('用戶名', [validators.DataRequired()])password = PasswordField('密碼', [validators.DataRequired()])@app.route('/login', methods=['GET', 'POST'])
def login():form = LoginForm()if form.validate_on_submit():username = form.username.datapassword = form.password.data# 使用參數化查詢防止 SQL 注入user = User.query.filter_by(username=username).first()if user and check_password_hash(user.password, password):return render_template('welcome.html', username=escape(username))  # 轉義輸出else:return "登錄失敗"return render_template('login.html', form=form)

2.2 防御效果

SQL 注入防御：
輸入 admin’ OR ‘1’ = '1 會被參數化查詢自動轉義為字符串，無法破壞 SQL 語法。
```
SELECT * FROM users WHERE username = ''admin'  OR  '1' = '1''  -- 無效查詢
```
XSS 防御：
輸入 <script>alert('XSS')</script> 會被 Jinja2 自動轉義為：
```
&lt;script&gt;alert('XSS')&lt;/script&gt;
```
瀏覽器不會執行腳本，僅顯示純文本。
CSRF 防御：
未攜帶合法 Token 的請求會被 Flask-WTF 攔截，返回 403 錯誤。

總結

攻擊類型	無防護后果	防護措施	防護效果
SQL 注入	繞過登錄驗證	參數化查詢	攻擊失效
XSS	竊取用戶會話	輸出轉義 + CSP	腳本被轉義
CSRF	偽造請求操作	CSRF Token	請求被攔截