面向開發人員梳理的代碼安全指南，旨在梳理 API 層面的風險點並提供詳實可行的安全編碼方案。基於 DevSecOps 理念，我們希望用開發者更易懂的方式闡述安全編碼方案，引導從源頭規避漏洞。
Python代碼安全指南
代碼書寫完畢之後的，後續工作，如加密代碼之類的！
DES 和 3DES 已經不再適用於現代應用程序，應改為使用 AES。6 個月以上bash
# 口令強度須同時滿足
1.密碼長度大於14位
2.必須包含下列元素：大小寫英文字母、數字、特殊字符
3.不得使用各系統、程序的默認初始密碼
4.不能與最近6次使用過的密碼重復
5.不得與其他外部系統使用相同的密碼DES 和 3DES）加密存儲口令salt 對口令進行加密存儲發布系統或者上線環境前，需要注意的問題！
Python 3.6+ 版本bash
# 為什麼要這麼做？
由於Python2在2020年停止維護，相關組件的漏洞不能得到及時修復與維護！AK/SK、IP、數據庫賬密等配置信息KMS 密鑰管理系統這是一條華麗的分割線
編寫代碼是需要考慮和思考的問題！
python
# Cerberus示例
v = Validator({'name': {'type': 'string'}})
v.validate({'name': 'john doe'})
# jsonschema示例
schema = {
"type" : "object",
"properties" : {
"price" : {"type" : "number"},
"name" : {"type" : "string"},
},
}
validate(instance={"name" : "Eggs", "price" : 34.99}, schema=schema)SQL 語句，強制區分數據和命令，避免產生 SQL 注入漏洞。python
# 錯誤示例
import mysql.connector
mydb = mysql.connector.connect(
... ...
)
cur = mydb.cursor()
userid = get_id_from_user()
# 使用%直接格式化字符串拼接SQL語句
cur.execute("SELECT `id`, `password` FROM `auth_user` WHERE `id`=%s " % (userid,))
myresult = cur.fetchall()python
# 安全示例
import mysql.connector
mydb = mysql.connector.connect(
... ...
)
cur = mydb.cursor()
userid = get_id_from_user()
# 將元組以參數的形式傳入
cur.execute("SELECT `id`, `password` FROM `auth_user` WHERE `id`=%s " , (userid,))
myresult = cur.fetchall()ORM 框架來操作數據庫，如：使用 SQLAlchemy。python
# 安裝sqlalchemy並初始化數據庫連接
# pip install sqlalchemy
from sqlalchemy import create_engine
# 初始化數據庫連接，修改為你的數據庫用戶名和密碼
engine = create_engine('mysql+mysqlconnector://user:[email protected]:port/DATABASE')python
# 引用數據類型
from sqlalchemy import Column, String, Integer, Float
from sqlalchemy.ext.declarative import declarative_base
Base = declarative_base()
# 定義 Player 對象:
class Player(Base):
# 表的名字:
__tablename__ = 'player'
# 表的結構:
player_id = Column(Integer, primary_key=True, autoincrement=True)
team_id = Column(Integer)
player_name = Column(String(255))
height = Column(Float(3, 2))python
# 增刪改查
from sqlalchemy.orm import sessionmaker
# 創建 DBSession 類型:
DBSession = sessionmaker(bind=engine)
# 創建 session 對象:
session = DBSession()
# 增:
new_player = Player(team_id=101, player_name="Tom", height=1.98)
session.add(new_player)
# 刪:
row = session.query(Player).filter(Player.player_name=="Tom").first()
session.delete(row)
# 改:
row = session.query(Player).filter(Player.player_name=="Tom").first()
row.height = 1.99
# 查:
rows = session.query(Player).filter(Player.height >= 1.88).all()
# 提交即保存到數據庫:
session.commit()
# 關閉 session:
session.close()SQL 語句時，必須對參數進行安全過濾。python
def sql_filter(sql, max_length=20):
dirty_stuff = ["\"", "\\", "/", "*", "'", "=", "-", "#", ";", "<", ">", "+",
"&", "$", "(", ")", "%", "@", ","]
for stuff in dirty_stuff:
sql = sql.replace(stuff, "x")
return sql[:max_length]os.system()、os.popen()、subprocess.call() 等。API 進行文件操作而非直接調用操作系統命令。python
import os
import sys
import shlex
domain = sys.argv[1]
# 替換可以用來注入命令的字符為空
badchars = "\n&;|'\"$()`-"
for char in badchars:
domain = domain.replace(char, " ")
result = os.system("nslookup " + shlex.quote(domain))XXE 攻擊。python
from lxml import etree
xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))WebShell 等文件。python
import os
ALLOWED_EXTENSIONS = ['txt','jpg','png']
def allowed_file(filename):
if ('.' in filename and
'..' not in filename and
os.path.splitext(filename)[1].lower() in ALLOWED_EXTENSIONS):
return filename
return NoneWEB 容器的可執行目錄（appBase）。python
import os
upload_dir = '/tmp/upload/' # 預期的上傳目錄
file_name = '../../etc/hosts' # 用戶傳入的文件名
absolute_path = os.path.join(upload_dir, file_name) # /tmp/upload/../../etc/hosts
normalized_path = os.path.normpath(absolute_path) # /etc/hosts
if not normalized_path.startswith(upload_dir): # 檢查最終路徑是否在預期的上傳目錄中
raise IOError()python
import uuid
def random_filename(filename):
ext = os.path.splitext(filename)[1]
new_filename = uuid.uuid4().hex + ext
return new_filenamebash
# 當程序需要從用戶提供的URL地址獲取信息時
# 如指定的URL地址獲取網頁文本內容、加載指定地址的圖片、進行下載等操作時，需對URL地址進行安全校驗
1.只允許HTTP或HTTPS協議
2.解析目標URL，獲取其host
3.解析host，獲取host指向的IP地址轉換成long型
4.檢查IP地址是否為內網IP
# 以RFC定義的專有網絡為例
# 如有自定義私有網段亦應加入禁止訪問列表
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
127.0.0.0/8
5.請求URL
6.如果有跳轉，跳轉後執行1，否則對URL發起請求bash
# X-Content-Type-Options
添加“X-Content-Type-Options”響應頭並將其值設置為“nosniff”。
# HttpOnly
控制用戶登鑒權的Cookie字段應當設置HttpOnly屬性以防止被XSS漏洞/JavaScript 操縱洩漏。
# X-Frame-Options
置X-Frame-Options響應頭，並根據需求合理設置其允許范圍。
該頭用於指示浏覽器禁止當前頁面在 frame、 iframe、embed 等標簽中展現，從而避免點擊劫持問題。
它有三個可選的值:
DENY: 浏覽器會拒絕當前頁面加載任何frame頁面;
SAMEORIGIN: 則frame頁面的地址只能為同源域名下的頁面
ALLOW-FROM origin: 可以定 義允許frame加載的頁面地址。python
# 推薦使用mozilla維護的bleach庫來進行過濾
import bleach
bleach.clean('an <script>evil()</script> example')
# u'an <script>evil()</script> example'SHA2、RSA 等算法進行加密存儲cvv 碼及日志禁止存儲3***************16 位字符，如 134******484 位字符，如 ************8639python
# 不要采取這種方式
admin_login_url = "xxxx/login"
# 安全示例
admin_login_url = "xxxx/ranD0Str"CMS）和數據權限校驗。bash
1. 驗證當前用戶的登錄態
2. 從可信結構中獲取經過校驗的當前請求賬號的身份信息（如session），禁止從用戶請求參數或Cookie中獲取外部傳入不可信用戶身份直接進行查詢
3. 校驗當前用戶是否具備該操作權限
4. 校驗當前用戶是否具備所操作數據的權限
5. 校驗當前操作是否賬戶是否預期賬戶try/except/finally 處理系統異常，避免出錯信息輸出到前端。debug 模式，或將程序運行日志輸出到前端。使用 Flask 框架編寫代碼是需要考慮和思考的問題！
Flask 文檔中的安全注意事項 https://flask.palletsprojects.com/en/latest/security/使用 Django 框架編寫代碼是需要考慮和思考的問題！
Django 自帶的安全特性開啟 https://docs.djangoproject.com/en/3.0/topics/security/Django 自帶的安全特性對 XSS、CSRF、SQL 注入、點擊劫持等類型漏洞可以起到較好防護效果。應盡量避免關閉這些安全特性。
