25 分钟

实战专项

Web 安全攻防实战

OWASP Top 10、XSS/CSRF/SQL注入/SSRF 防御

理解 OWASP Top 10 安全风险
掌握 XSS/CSRF/SQL注入/SSRF 的防御
理解认证安全和密码哈希
掌握安全头和传输安全

Web 安全攻防实战

安全不是功能，是底线。一个 SQL 注入漏洞可能拖垮整个数据库。这节课覆盖 Python Web 开发中最常见的安全问题。

SQL 注入

示例代码（可运行）

Python 0%

1# SQL 注入：最经典也最致命的漏洞

2# 危险！字符串拼接 SQL

3def get_user_unsafe(username):

4 sql = "SELECT * FROM users WHERE username = " + repr(username)

5 return sql

7# 攻击者输入: " OR "1"="1

8# SQL 变成: SELECT * FROM users WHERE username = '' OR '1'='1'

9# 返回所有用户！

10attack = "' OR '1'='1"

11print("注入攻击:", get_user_unsafe(attack))

13# 防御：参数化查询（永远用占位符）

14def get_user_safe(username):

15 # Django ORM: User.objects.filter(username=username)

16 # SQLAlchemy: session.query(User).filter_by(username=username)

17 # 原生 SQL: cursor.execute("SELECT * FROM users WHERE username = %s", (username,))

18 return "参数化查询，用户输入永远作为数据，不会被解释为SQL"

20print(get_user_safe("alice"))

22# 规则：

23# 1. 永远不要字符串拼接 SQL

24# 2. 用 ORM 或参数化查询

25# 3. 最小权限原则：数据库账号不要有 DROP/ALTER 权限

26# 4. 不要把数据库错误信息暴露给用户

XSS（跨站脚本）

示例代码（可运行）

Python 0%

1# XSS：攻击者注入恶意脚本到页面

2# 三种类型：

3# 1. 反射型：URL参数直接输出到页面

4# 2. 存储型：恶意脚本存入数据库，其他用户看到

5# 3. DOM型：前端JS直接使用URL参数

7# 防御：

8# 1. 输出转义（Django模板/Jinja2默认转义）

9# 2. 不要用 mark_safe / innerHTML 渲染用户输入

10# 3. Content-Security-Policy 头

11# 4. HttpOnly Cookie（JS无法读取session cookie）

13# Python 中的 HTML 转义

14import html

15user_input = '<script>alert("偷cookie")</script>'

16escaped = html.escape(user_input)

17print(f"转义后: {escaped}")

18# <script> 变成 <script>，浏览器显示但不执行

20# 富文本场景（用户要发HTML）：

21# 用 bleach 库白名单过滤

22# import bleach

23# clean = bleach.clean(user_html, tags=["p","b","i"], strip=True)

24# 只允许 p/b/i 标签，script 被剥离

CSRF（跨站请求伪造）

CSRF：利用用户已登录的身份发起伪造请求攻击场景：用户登录了 bank.com用户访问了恶意网站 evil.comevil.com 有一个表单自动提交到 bank.com/transfer浏览器自动带上 bank.com 的 cookie转账成功！防御：CSRF Token（Django: {% csrf_token %}，每次请求验证）SameSite Cookie 属性（Lax/Strict）验证 Origin/Referer 头敏感操作需要二次验证（密码/验证码） SameSite Cookie：Strict: 完全不允许跨站发送cookie（最安全，体验差）Lax: 允许顶级导航的GET请求带cookie（默认，平衡）None: 允许跨站（必须配合Secure） FastAPI 需要手动实现 CSRF 保护Django 内置 CsrfViewMiddlewareCSRF防御：Token + SameSite Cookie + Origin验证

认证安全与密码哈希

示例代码（可运行）

Python 0%

1# 密码存储：永远不要明文，不要 MD5/SHA1

2import hashlib

4# 错误：MD5/SHA1（太快，可暴力破解）

5# password = "123456"

6# hashlib.md5(password.encode()).hexdigest() # 危险！

8# 正确：慢哈希算法（bcrypt/argon2/PBKDF2）

9# bcrypt：自适应成本因子，GPU破解困难

10# argon2：密码哈希竞赛冠军，最推荐

11# PBKDF2：Django默认，NIST推荐

13# 模拟密码哈希（实际用 bcrypt/argon2 库）

14import secrets

15import hmac

17def hash_password(password, salt=None):

18 if salt is None:

19 salt = secrets.token_hex(16) # 安全随机盐

20 # PBKDF2-HMAC-SHA256, 10万次迭代

21 hashed = hashlib.pbkdf2_hmac("sha256", password.encode(), salt.encode(), 100000)

22 return f"pbkdf2_sha256$100000${salt}${hashed.hex()}"

24def verify_password(password, stored):

25 algorithm, iterations, salt, hash_val = stored.split("$")

26 hashed = hashlib.pbkdf2_hmac("sha256", password.encode(), salt.encode(), int(iterations))

27 return hmac.compare_digest(hashed.hex(), hash_val) # 恒定时间比较

29stored = hash_password("MyP@ssw0rd")

30print(f"存储: {stored[:40]}...")

31print(f"验证正确: {verify_password('MyP@ssw0rd', stored)}")

32print(f"验证错误: {verify_password('wrong', stored)}")

🚫安全红线

密码用 bcrypt/argon2/PBKDF2 哈希，加盐，别明文存，别用 MD5SQL 写参数化的用户输入要转义、校验生产环境必须用 HTTPSJWT 密钥要 256bit+，设过期时间SECRET_KEY/API Key 别提交到 Git文件上传要验证类型、用随机文件名、隔离存储定期用 pip-audit 扫依赖漏洞。

安全头与传输安全

示例代码（可运行）

Python 0%

1# 安全 HTTP 头

2security_headers = """

3# 必加的安全头：

4Content-Security-Policy: default-src 'self' # 防XSS数据注入

5X-Content-Type-Options: nosniff # 防MIME嗅探

6X-Frame-Options: DENY # 防点击劫持

7Strict-Transport-Security: max-age=31536000 # 强制HTTPS

8Referrer-Policy: strict-origin-when-cross-origin

9Permissions-Policy: camera=(), microphone=() # 限制浏览器功能

11# HTTPS 配置：

12# - TLS 1.2+，禁用 SSLv3/TLS 1.0/1.1

13# - 用 Let's Encrypt 免费证书（certbot自动续期）

14# - HSTS 头告诉浏览器以后只用 HTTPS

15# - 安全密码套件（ECDHE+AESGCM）

16"""

17print(security_headers)

SSRF防御

SSRF：服务端请求伪造

SSRF 是攻击者让服务器请求内网地址的漏洞：

示例

# SSRF 攻击场景：
# 一个图片代理功能：
# GET /proxy?url=http://example.com/img.jpg
# 攻击者改为：
# GET /proxy?url=http://169.254.169.254/latest/meta-data/
# 169.254.169.254 是云服务器元数据地址！
# 可以获取临时凭证、IAM角色信息

# 防御：
# 1. URL 白名单（只允许指定域名）
# 2. 禁止访问内网IP（10.x/172.16-31.x/192.168.x/127.x/169.254.x）
# 3. 禁用重定向（或验证重定向目标）
# 4. 使用独立的网络命名空间/出口IP
# 5. DNS rebinding 防护（先解析IP验证，再用IP连接）

选择题

防御 SQL 注入的正确方式是？

选择题

密码应该用什么算法存储？

资深工程师加餐

底层原理 · 大厂视角 · 工程经验，点卡片展开

正确顺序通常是：先写能跑的单体，但内部清晰分层（路由/业务/数据）、模块边界明确、有测试覆盖；等团队规模、流量和独立发布诉求真的上来，再按「变更频率、负载特征、独立性」去拆服务。过早微服务会把单机内的函数调用变成跨网络调用，带来分布式事务、链路排查、运维复杂度等一堆难题。

挑战任务

密码哈希验证器

简单+50 XP

实现密码哈希和验证函数，使用 PBKDF2 + salt。

密码哈希验证器

Python 0%

2 个测试用例

课后作业

输入验证器

中等+20 XP

写一个函数验证用户输入，防止 XSS，过滤转义 HTML 特殊字符。

输入验证器

Python 0%

1 个测试用例