flask-ssti,xss的防止

源码

import uuid
from flask import Flask, request, make_response, session,render_template, url_for, redirect, render_template_string

app=Flask(__name__)
app.config['SECRET_KEY']=str(uuid.uuid4())

#flask只对后缀名为('.html', '.htm', '.xml', '.xhtml')的自动进行转义,所以开发的时候尽量写个单独的模板，实现代码和视图分离

#<script>alert(1)</script>需要url编码

#ssti xss都存在
#单独写了个404报错页面
@app.errorhandler(404)
def page_not_found(e):
	template='''
		{%% block body %%}
		<div class="center-content error">
		<h1>Oops! That page doesn't exist.</h1>
		<h3>%s</h3>
		</div>
		{%% endblock %%}
	'''%(request.url)
	return render_template_string(template),404

#无ssti，有xss
@app.route('/test1',methods=['GET','POST'])
def test1():
	if request.method=='GET':
		name=request.args.get("name")
		return name
	return "hello world!"  

#都有
@app.route('/test2',methods=['GET','POST'])
def test2():
	if request.method=='GET':
		name=request.args.get("name")
		template="""
		<h1>%s</h1>
		"""%(name)
		return render_template_string(template)
	return "hello world!"

#安全
@app.route('/test3',methods=['GET','POST'])
def test3():
	if request.method=='GET':
		name=request.args.get("name")
		template="""
		<h1>hello,{{name}}</h1>
		"""
		return render_template_string(template,name=name)
	return "hello world!"  

#安全，提倡的做法
@app.route('/test4',methods=['GET','POST'])
def test4():
	if request.method=='GET':
		name=request.args.get("name")
		return render_template('1.html',name=name)
	return "hello world!"

app.run(port=80,debug=True)

flask有防止ssti注入和XSS的方法，默认对('.html', '.htm', '.xml', '.xhtml')为后缀的进行转义,所以写代码的时候无论代码量多少，写个单独的模板传递进去参数显示总是安全的。

---

但是并不会对render_template_string进行转义，这就造成了ssti和xss
不管怎么说，代码和视图分离是最好的了。