Python网络编程 11.1 Flask框架Web应用程序及安全性分析

import os,pprint,sqlite3
from collections import namedtuple
 
def open_database(path='bank.db'):
    new = not os.path.exists(path)
    db = sqlite3.connect(path)
    if new:
        c = db.cursor()
        c.execute('CREATE TABLE payment (id INTEGER PRIMARY KEY,'
                  'debit TEXT,credit TEXT,dollars INTEGER,memo TEXT)')
        add_payment(db,'brandon','psf',125,'Registration for PyCon')
        add_payment(db,'brandon','liz',200,'Payment for writing that code')
        add_payment(db,'sam','brandon',25,'Gas money-thanks for the ride!')
        db.commit()
    return db
 
def add_payment(db,debit,credit,dollars,memo):
    db.cursor().execute('INSERT INTO payment (debit,credit,dollars,memo)'
                        'VALUES (?,?,?,?)',(debit,credit,dollars,memo))
 
def get_payments_of(db,account):
    c = db.cursor()
    c.execute('SELECT * FROM payment WHERE credit = ? or debit = ?'
              'ORDER BY id',(account,account))
    Row = namedtuple('Row',[tup[0] for tup in c.description])
    return [Row(*row) for row in c.fetchall()]
 
if __name__ == '__main__':
    db = open_database()
    pprint.pprint(get_payments_of(db,'brandon'))

import bank
from flask import Flask,redirect,request,url_for
from jinja2 import Environment,PackageLoader
 
app = Flask(__name__)
get = Environment(loader=PackageLoader(__name__,'templates')).get_template
@app.route('/login',methods=['GET','POST'])
def login():
    username = request.form.get('username','')
    password = request.form.get('password','')
    if request.method == 'POST':
        if (username,password) in [('brandon','atigdng'),('sam','wyzzy'),('gjy','330219')]:
            response = redirect(url_for('index'))
            response.set_cookie('username',username)
            return response
    return get('login.html').render(username=username)
@app.route('/logout')
def logout():
    response = redirect(url_for('login'))
    response.set_cookie('username','')
    return response
 
@app.route('/')
def index():
    username = request.cookies.get('username')
    if not username:
        return redirect(url_for('login'))
    payments = bank.get_payments_of(bank.open_database(),username)
    return get('index.html').render(payments=payments,username=username,
                                    flash_messages= request.args.getlist('flash'))
@app.route('/pay',methods=['GET','POST'])
def pay():
    username = request.cookies.get('username')
    if not username:
        return redirect(url_for('login'))
    account = request.form.get('account','').strip()
    dollars = request.form.get('dollars','').strip()
    memo = request.form.get('memo','').strip()
    complaint = None
    if request.method == 'POST':
        if account and dollars and dollars.isdigit() and memo:
            db = bank.open_database()
            bank.add_payment(db,username,account,dollars,memo)
            db.commit()
            return redirect(url_for('index',flash = 'Payment Successful.'))
        complaint = ('Dollars must be an integer' if not dollars.isdigit()
                     else 'Please fill in all three fields')
    return get('pay.html').render(complaint=complaint,account=account,
                                  dollars=dollars,memo=memo)
 
if __name__ == '__main__':
    app.debug = True            #打开调试模式。一旦对运行中的代码做了修改，Flask就会自动重启并重新载入应用程序。这样就能在对代码进行微调时快速看到修

                                #改的效果
    app.run()

• 从上往下阅读代码，可以依次看到login()和logout()两个函数及其对应的页面。由于这个应用程序并没有真正的用户数据库，因此login()直接硬编码了两个虚拟的用户账号及密码。我们会在接下来的章节中学习更多有关表单逻辑的内容。不过从login()中已经看出，登陆和登出会导致cookie的创建和删除。如果后续的请求中提供了cookie，那么服务器会认为cookie标记的用户是授权用户。
• 另外两个页面都不允许非授权用户查看，index()和pay()都会先查询cookie，如果没有找到cookie值，就会重定向到登陆界面。除了检查用户是否已经的登录之外，登录之后的视图只有两行代码。首先从数据库拉取当前用户的账单信息，然后与其他信息组合起来一起传递给HTML页面模板。我们需要向即将生成的页面提供用户名，这一点是很容易理解的。但是代码中为什么要检查名为”flash“的URL参数呢（Flask通过request.args字典来提供URL参数）？
  阅读一下Pay函数，答案就很明显了。在支付成功后，用户会被重定向到index页面，而此时用户可能需要一些提示，来确认自己提交的表单得到了正确的处理。这一功能是通过Web框架的flash消息来完成的。flash消息会显示在页面的顶部。（这里的flash与用来编写小广告的Adobe Flash没有任何关系，只是表示用户下次访问该页面时该信息会像flash广告一样呈现给用户，然后消失）在该Web程序的第一个版本中，只是简单地将flash消息设计为了URL中的一个查询字符串。
• pay()函数剩下的部分：检查表单是否成功提交，如果成功，就进行一些操作。用户或浏览器有可能会提供或漏掉一些表单参数，因此很谨慎地在代码中使用request.form字典的get()方法进行了处理。如果某个键确实的话，就会返回一个默认值，在这里是空字符串''。如果请求满足条件，pay()函数就会将该账单永久添加到数据库中；否则，就将表单返回给用户。如果用户已经填写了一些信息，那么上面的代码不会直接将用户已经填写的信息丢掉，也不会返回空白的表单以及错误信息，而是将用户已经填写的值传回给模板。这样，在用户看到的页面中就能够重新显示他们已经填写过的值了。 

<form action="/search">
   <label>Search:<input name="q"></label>
   <button type="submint">Go</button>
</form>

GET /search?q=python+network+programming HTTP/1.1
Host:example.com

<form method = 'post' action = '/donate'>
  <label>charity:<input name='name'></label>
  <label>amount:<input name = 'dollars'></label>
  <button type = 'submit'>Donate</button>
</form>

• 可以仍然保留cookie的可读性，但是使用数字签名对cookie进行签名。这会迫使攻击者对此无能为力。他们可以从cookie中看到用户名，也可以将他们想要伪造的用户名重新写入请求中，但是他们无法伪造数字签名来对请求中的cookie进行签名，因此网站不会信任他们重新构造的cookie。
• 可以对cookie进行完全加密，这样用户甚至都无法读懂cookie的值。加密后的cookie是一个人类无法理解，甚至计算机也无法解析的值。
• 可以使用一个纯随机的字符串作为cookie。该字符串本身没有任何意义，创建该字符串时可以使用一个标准的UUID库，将这些随机字符串存储在自己的数据库中，每个受信任的用户都有一个对应的随机字符串，之后的请求就用该字符串作为cookie，这样就可以通过服务器的认证(其实这就是session)。如果由一个用户发送的多个连续的HTTP请求可能被转发至多台不同的服务器，那么所有服务器都要能够访问这一持久化的Session存储。有些应用程序会把Session存储在核心数据库中，而另一些则使用Redis实例或其他存储期较短的方式，以防止核心数据库的查询负载过高。

app.secret_key = 'saiGeij8AiS2ahMo5dahveixuV3'
#有了签名密钥后，Flask就会通过Session对象来使用该密钥，设置cookie
session['username'] = username
session]['csrf_token'] = uuid.uuid4().hex
#收到请求并提取出cookie之后，Flask会检查签名密钥，缺人密钥正确后才会信任此次请求。
# 如果cookie的签名不正确，就认为该cookie是伪造的，因此尽管请求中提供了cookie，但是该cookie无效。
username = session.get('username')

<script>
var x = new XMLHTTPRequest();
x.open(‘POST’,'http://localhost:5000/pay');
x.setRequestHeader('Content-Type','application/x-www-form-urlencoded');
x.send('account=hacker&dollars=110&memo='Theft');
</script>

<input name="csrf_token" type="hidden" value="{{csrf_token}}">

import bank,uuid
from flask import (Flask,abort,flash,get_flashed_messages,
                    redirect,render_template,request,session,url_for)
 
app = Flask(__name__)
app.secret_key = 'saiGeij8AiS2ahMo5dahveixuV3'
#有了签名密钥后，Flask就会通过Session对象来使用该密钥，设置cookie
#收到请求并提取出cookie之后，Flask会检查签名密钥，缺人密钥正确后才会信任此次请求。
#如果cookie的签名不正确，就认为该cookie是伪造的，因此尽管请求中提供了cookie，但是该cookie无效。
 
@app.route('/login',methods=['GET','POST'])
def login():
    username = request.form.get('username','')
    password = request.form.get('password','')
    if request.method == 'POST':
        if (username,password) in [('brandon', 'pswd'), ('sam', 'pswd')]:
            session['username']=username
            session['csrf_token']=uuid.uuid4().hex
            return redirect(url_for('index'))
    return render_template('login.html',username=username)     #通过render_template函数来调用Jinja2，只要其参数中的模板文件名是html后缀，
                                                                #就会自动打开HTML转义功能。抵御XSS攻击
 
@app.route('/logout')
def logout():
    session.pop('username',None)
    return redirect(url_for('login'))
 
@app.route('/')
def index():
    username = session.get('username')
    if not username:
        return redirect(url_for('login'))
    payments = bank.get_payments_of(bank.open_database(),username)
    return render_template('index.html',payments=payments,username=username,
                           flash_messages=get_flashed_messages())
 
@app.route('/pay',methods=['GET','POST'])
def pay():
    username = session.get('username')
    if not username:
        return redirect(url_for('login'))
    account = request.form.get('account','').strip()
    dollars = request.form.get('dollars','').strip()
    memo    = request.form.get(  'memo' ,'').strip()
    complaint = None
    if request.method == 'POST':
        if request.form.get('csrf_token') != session['csrf_token']:
            abort(403)
        if account and dollars and dollars.isdigit() and memo:
            db = bank.open_database()
            bank.add_payment(db,username,account,dollars,memo)
            db.commit()
            flash('Payment Successful')
            return redirect(url_for('index'))
        complaint = ('Dollars must be an integer' if not dollars.isdigit()
                     else 'Pleaser fill in all three fields')
    return render_template('pay2.html',complaint=complaint,account=account,
                            dollars=dollars,memo=memo,csrf_token=session['csrf_token'])
if __name__ == '__main__':
    app.debug = True
    app.run()