tornado 10、网站安全问题

落日映苍穹つ 2021-06-24 14:36 392阅读 0赞

实际使用过程中，网站总是会遇到这样那样安全问题，以下是我基于tornado网站做的一些防护。

## **一、用户验证问题** ##

首先用户登录使用安全cookie，见《tornado 8、用户登录验证 secure\_cookie》。在登录过程中我们还可以对用户密码进行加密，即使数据被获取，也得不到用户的真实密码。  
　　一般对密码加密，我们可以使用不可逆算法，如md5等。但是这样只是避免用户密码暴露，如果坏人知道了MD5加密后的密码，还是可以登录我们的网站的。  
　　因此我们还需要提高密码强度，俗称加盐。我们可以对用户输入密码进行动态加密。这样密码一致在变化。这个地方我对前端密码加密过程中使用的验证码答案。

前端代码：
    var imgID = $(".indetify").val();
    var pasw = $.md5($.md5($.trim($(".pasw").val()))+imgID);

看到我首先对用户密码进行MD5加密，在把加密后的代码与用户输入验证码进行MD5加密。这样前端传递到后端的密码每次都在变化。即使被人截取也没用。

## **二、安全cookie** ##

目前浏览器都允许插件的存在，插件有时能够获取我们的安全cookie，对后台恶意传输数据。我们

1.  可以在后端设置cookie属性，
2.  设置关闭浏览器清除cookie达到session效果，
3.  使用https协议，让cookie只能走ssl通道。（需支持网站https）

# expires_days关闭浏览器清除cookie
    # secure只能在https中传递cookie，防止在传送中被截取
     # httponly禁止javascript读取cookie
     self.set_secure_cookie("sessionID",str("uid"),expires_days=None,httponly=True)

## **三、XSRF跨站请求** ##

**对于get方法：**  
　　我们可以在路由参数使用正则匹配，严格控制get参数。

(r"/member/detail/(\w*)/([01]*)", F.MemberDetailHandler),

**对于post方法：**  
　　tornado提供了XSRF保护，我们在前端需要使用的地方生成一个\_xsrf参数，在post过程中带上这个参数，tornado会自动帮我们验证\_xsrf是否正确。如果不正确则不会相应。  
　　1.开启使用：

settings = {
        "xsrf_cookies": True
    }

２.form中使用：

3.ajax post中使用：  
　　在jquey中能在ajax请求前设置一些参数：

或者使用：