Tornado的XSRF防范-猿码集

1. 什么是XSRF（Cross-Site Request Forgery）攻击？

XSRF（跨站请求伪造）是一种常见的网络攻击方式，它利用用户在访问受信任网站时的身份验证信息，通过伪造用户的请求，达到欺骗服务器的目的。攻击者通过欺骗用户点击特定的链接或访问恶意网站，使用户的浏览器发送请求到目标网站，从而实现攻击者的意图。

2. Tornado中的XSRF防范

2.1 防范机制

Tornado提供了一种内置的XSRF防范机制，通过在每个请求中生成一个随机的token，并将该token嵌入到表单中或作为请求参数发送给浏览器。

import tornado.web
class BaseHandler(tornado.web.RequestHandler):
    def get_current_user(self):
        return self.get_cookie("user")
class XSRFTokenHandler(BaseHandler):
    def get(self):
        self.render("index.html", token=self.xsrf_token)
class MainHandler(BaseHandler):
    def post(self):
        self.check_xsrf_cookie()
        # 处理请求

2.2 配置XSRF token

在Tornado中启用XSRF防范需要进行相关的配置，通过设置`xsrf_cookies`参数为`True`来开启XSRF防范。

settings = {
    "xsrf_cookies": True,
    # 其他设置项
}
application = tornado.web.Application([(r"/", MainHandler)], **settings)

2.3 前端表单保护

在前端页面的表单中，需要添加一个隐藏字段，用于存储XSRF token。这个token可以从Tornado的请求上下文中获取，然后将其嵌入到表单中。

<form action="/" method="post">
  <input type="hidden" name="_xsrf" value="{{ token }}">
  <input type="text" name="username">
  <input type="password" name="password">
  <input type="submit" value="Submit">
</form>

3. Tornado中的安全建议

3.1 设置secure标志

在使用HTTPS协议时，可以通过在cookie中设置`secure`标志，来确保cookie只能通过HTTPS协议传输，防止被劫持后用于XSRF攻击。

settings = {
    "xsrf_cookies": True,
    "cookie_options": {
        "secure": True,
    },
    # 其他设置项
}
application = tornado.web.Application([(r"/", MainHandler)], **settings)

3.2 设置httponly标志

可以将cookie的`httponly`标志设置为True，使cookie只能通过HTTP或HTTPS协议传输，而无法通过JavaScript等脚本获取，进一步增强XSRF的防范效果。

settings = {
    "xsrf_cookies": True,
    "cookie_options": {
        "secure": True,
        "httponly": True,
    },
    # 其他设置项
}
application = tornado.web.Application([(r"/", MainHandler)], **settings)

3.3 设置token过期时间

Tornado的XSRF防范机制会为每个请求生成一个随机的token，并将其存储在cookie中。可以通过设置`xsrf_expire`参数来控制token的过期时间。

settings = {
    "xsrf_cookies": True,
    "xsrf_expire": 3600, # token有效期为1小时
    # 其他设置项
}
application = tornado.web.Application([(r"/", MainHandler)], **settings)

4. 总结

通过使用Tornado的内置XSRF防范机制，我们可以有效地防范XSRF攻击。同时，配置相关安全选项，如设置secure标志和httponly标志，并合理设置token过期时间，可以进一步提升应用程序的安全性。

Tornado的XSRF防范