flask-ssti,xss的防止

源码

import uuid

from flask import Flask, request, make_response, session,render_template, url_for, redirect, render_template_string

app=Flask(__name__)

app.config['SECRET_KEY']=str(uuid.uuid4())

#flask只对后缀名为('.html', '.htm', '.xml', '.xhtml')的自动进行转义,所以开发的时候尽量写个单独的模板，实现代码和视图分离

#<script>alert(1)</script>需要url编码

#ssti xss都存在

#单独写了个404报错页面

@app.errorhandler(404)

def page_not_found(e):

	template='''

		{%% block body %%}

		<div class="center-content error">

		<h1>Oops! That page doesn't exist.</h1>

		<h3>%s</h3>

		</div>

		{%% endblock %%}

	'''%(request.url)

	return render_template_string(template),404

#无ssti，有xss

@app.route('/test1',methods=['GET','POST'])

def test1():

	if request.method=='GET':

		name=request.args.get("name")

		return name

	return "hello world!"  

#都有

@app.route('/test2',methods=['GET','POST'])

def test2():

	if request.method=='GET':

		name=request.args.get("name")

		template="""

		<h1>%s</h1>

		"""%(name)

		return render_template_string(template)

	return "hello world!"

#安全

@app.route('/test3',methods=['GET','POST'])

def test3():

	if request.method=='GET':

		name=request.args.get("name")

		template="""

		<h1>hello,{{name}}</h1>

		"""

		return render_template_string(template,name=name)

	return "hello world!"  

#安全，提倡的做法

@app.route('/test4',methods=['GET','POST'])

def test4():

	if request.method=='GET':

		name=request.args.get("name")

		return render_template('1.html',name=name)

	return "hello world!"

app.run(port=80,debug=True)

flask有防止ssti注入和XSS的方法，默认对('.html', '.htm', '.xml', '.xhtml')为后缀的进行转义,所以写代码的时候无论代码量多少，写个单独的模板传递进去参数显示总是安全的。

但是并不会对render_template_string进行转义，这就造成了ssti和xss

不管怎么说，代码和视图分离是最好的了。

巴特西

flask-ssti,xss的防止

最新文章

热门文章