FastAPI 如何防止跨站脚本攻击 (XSS)？-JavaScript中文网-JavaScript教程资源分享门户

本题详细解读

1. 使用模板引擎的自动转义功能

FastAPI 通常与模板引擎（如 Jinja2）一起使用来生成动态 HTML 内容。Jinja2 默认启用了自动转义功能，这意味着它会自动将用户输入中的特殊字符（如 <, >, & 等）转换为 HTML 实体，从而防止 XSS 攻击。

// www.javascriptcn.com code example
from fastapi import FastAPI, Request
from fastapi.templating import Jinja2Templates

app = FastAPI()
templates = Jinja2Templates(directory="templates")

@app.get("/")
async def read_root(request: Request):
    return templates.TemplateResponse("index.html", {"request": request, "user_input": "<script>alert('XSS')</script>"})

在上面的例子中，即使 user_input 包含恶意脚本，Jinja2 也会自动转义这些字符，使其在浏览器中显示为普通文本，而不是可执行的脚本。

2. 验证和清理用户输入

FastAPI 使用 Pydantic 模型来验证和清理用户输入。通过定义严格的数据模型，可以确保用户输入的数据符合预期格式，从而减少 XSS 攻击的风险。

from pydantic import BaseModel

class UserInput(BaseModel):
    content: str

@app.post("/submit")
async def submit(input: UserInput):
    return {"message": "Input received", "content": input.content}

在这个例子中，UserInput 模型确保 content 字段是一个字符串，并且可以在进一步处理之前对其进行额外的清理或验证。

3. 设置 HTTP 安全头

通过设置适当的 HTTP 头，可以进一步增强应用程序的安全性。例如，Content-Security-Policy 可以限制浏览器加载和执行外部脚本，从而减少 XSS 攻击的可能性。

from fastapi.middleware.httpsredirect import HTTPSRedirectMiddleware
from fastapi.middleware.trustedhost import TrustedHostMiddleware

app.add_middleware(HTTPSRedirectMiddleware)
app.add_middleware(TrustedHostMiddleware, allowed_hosts=["example.com"])

4. 使用安全的 Cookie 设置

在设置 Cookie 时，确保使用 HttpOnly 和 Secure 标志。HttpOnly 标志防止客户端脚本访问 Cookie，而 Secure 标志确保 Cookie 仅通过 HTTPS 传输。

from fastapi import Response

@app.get("/set-cookie")
async def set_cookie(response: Response):
    response.set_cookie(key="session", value="12345", httponly=True, secure=True)
    return {"message": "Cookie set"}

5. 避免直接插入用户输入到 HTML

在渲染 HTML 时，避免直接将用户输入插入到 HTML 中。使用模板引擎或转义函数来处理用户输入，确保任何潜在的恶意脚本都不会被执行。

// www.javascriptcn.com code example
from fastapi import FastAPI, Request
from fastapi.templating import Jinja2Templates

app = FastAPI()
templates = Jinja2Templates(directory="templates")

@app.get("/")
async def read_root(request: Request):
    user_input = "<script>alert('XSS')</script>"
    return templates.TemplateResponse("index.html", {"request": request, "user_input": user_input})

在这个例子中，user_input 被传递给模板引擎，模板引擎会自动转义其中的特殊字符，从而防止 XSS 攻击。

FastAPI 如何防止跨站脚本攻击 (XSS)？

推荐答案