当前位置：首页 > news >正文

FastAPI系列13：API的安全防护

news 来源：原创 2025/7/17 10:51:13

API的安全防护

- 1、HTTPS 强制
- - 什么是HTTPS强制
  - 如何在FastAPI中实现HTTPS强制
- 2、CORS跨域资源共享
- - 什么是CORS
  - 在 FastAPI 中开启 CORS
- 3、SQL注入防护
- - 什么是SQL注入
  - 如何在FastAPI中实现SQL注入防护
- 4、CSRF防护
- - 什么是CSRF防护
  - 如何在FastAPI中实现CSRF防护

在 FastAPI系列12：使用JWT 登录认证和RBAC 权限控制一节中，我们介绍了在FastAPI中实现身份验证和授权这两个API 安全防护的两个基本要素。本节我们继续讨论HTTPS 强制、 CSRF防护、CORS跨域资源共享、 SQL注入防护等内容。

1、HTTPS 强制

什么是HTTPS强制

HTTPS协议在 HTTP 的基础上添加了 SSL/TLS 加密层，在HTTPS协议下所有数据传输都经过对称加密（如 AES），即使被窃听也无法读取内容。而HTTPS 强制是指确保用户始终通过HTTPS安全连接访问网站，防止：

数据在传输过程中被窃听或篡改（中间人攻击）；
用户意外使用不安全的 http:// 访问。

如何在FastAPI中实现HTTPS强制

一般情况下，我们可以通过通过反向代理（如 Nginx）实现强制跳转，如：

server {listen 80;server_name yourdomain.com;return 301 https://$host$request_uri;
}

在FastAPI中，也可以使用中间件自动重定向到 HTTPS

from fastapi import FastAPI, Request
from fastapi.responses import RedirectResponseapp = FastAPI()@app.middleware("http")
async def redirect_to_https(request: Request, call_next):if request.url.scheme == "http":url = request.url.replace(scheme="https")return RedirectResponse(url=str(url))return await call_next(request)

2、CORS跨域资源共享

什么是CORS

CORS（Cross-Origin Resource Sharing，跨域资源共享） 是浏览器的一种安全机制，用于允许或阻止网页在一个域名下的前端 JavaScript 向另一个域名的服务器发送请求。浏览器默认实行 同源策略：前端只能访问与自己同源（协议 + 域名 + 端口）的接口，以防止恶意网站窃取用户数据。
而CORS 允许服务器明确声明：“哪些源可以访问我”。

在 FastAPI 中开启 CORS

from fastapi.middleware.cors import CORSMiddlewareapp.add_middleware(CORSMiddleware,allow_origins=["https://example.com"],  # 或 ["*"] 允许所有allow_credentials=True,allow_methods=["*"],allow_headers=["*"],
)

3、SQL注入防护

什么是SQL注入

SQL 注入（SQL Injection） 是一种严重的安全漏洞，攻击者通过向应用程序的输入字段注入恶意 SQL 代码，使服务器执行非预期的数据库操作。
一般情况下，我们可以通过以下方法来防护SQL注入：

使用 参数化查询 / 预编译语句（prepared statements）
严格 输入校验 和 白名单过滤
使用 ORM（如 SQLAlchemy、Django ORM）
最小化数据库权限（只授予必要操作）

如何在FastAPI中实现SQL注入防护

使用数据库驱动的参数化查询（原生 SQL）

cursor.execute("SELECT * FROM users WHERE username = %s", (username,))

使用 ORM（如 SQLAlchemy / Tortoise ORM）

from sqlalchemy import select
from models import Userstmt = select(User).where(User.username == username_input)
result = db.execute(stmt)  # 安全：ORM 会自动参数化

4、CSRF防护

什么是CSRF防护

CSRF（跨站请求伪造）防护是一种防止攻击者利用受害者登录状态，冒充用户向目标网站发送恶意请求的安全机制。
通常我们可以通过以下方式进行CSRF防护：

CSRF Token
- 服务端生成唯一 Token，写入表单中；
- 请求时必须携带 Token，攻击者无法伪造。
SameSite Cookie 策略
- SameSite=Strict/Lax 防止第三方请求自动携带 Cookie。
双重验证 Referer 或 Origin 头
- 拒绝非本站域名发起的表单请求。
使用 JWT + 不自动携带 Token 的存储方式（如 LocalStorage）

如何在FastAPI中实现CSRF防护

一般情况下，我们可以启用 SameSite Cookie 策略：

from fastapi.responses import Response
response.set_cookie(key="session", value=session_id,httponly=True,samesite="Strict",  # 或 "Lax"secure=True
)

可以使用CSRF Token 中间件，配合 starlette-wtf 或 itsdangerous 手动生成和验证 Token:

from itsdangerous import URLSafeTimedSerializer
from fastapi import FastAPI, Request, Form, HTTPExceptionapp = FastAPI()
serializer = URLSafeTimedSerializer("secret-key")@app.get("/form")
def get_form():token = serializer.dumps("csrf-token")return f'<form action="/submit" method="post"><input name="csrf_token" value="{token}"><button>Submit</button></form>'@app.post("/submit")
def submit_form(csrf_token: str = Form(...)):try:serializer.loads(csrf_token, max_age=3600)except Exception:raise HTTPException(status_code=403, detail="Invalid CSRF Token")return {"message": "Form submitted successfully"}

FastAPI系列13：API的安全防护

API的安全防护 1、HTTPS 强制什么是HTTPS强制如何在FastAPI中实现HTTPS强制 2、CORS跨域资源共享什么是CORS在 FastAPI 中开启 CORS 3、SQL注入防护什么是SQL注入如何在FastAPI中实现SQL注入防护 4、CSRF防护什么是CSRF防护如何在FastAPI中实现CSRF防护在 FastAPI系列12&…...

编程日记 2025/7/17 10:51:13

每天一道面试题@第五天

1.包装类型的缓存机制了解么？ 指部分包装类在创建对象时，会将一定范围内的对象缓存起来，当再次使用相同值创建对象时，优先从缓存中获取，而不是重新创建新对象。【提高性能】【节省内存】列举几个常见的包装类缓存机…...

编程日记 2025/6/29 5:16:39

Python硬核革命：从微控制器到FPGA的深度开发指南

1. 重新定义硬件开发：Python的颠覆性突破传统硬件开发长期被C/C++和Verilog/VHDL统治，但Python正通过两条路径改变这一格局： 1.1 微控制器领域的MicroPython革命完整Python 3.4语法支持，运行在资源受限的MCU上（最低要求：64KB ROM，16KB RAM）直接内存访问能力，突破…...

编程日记 2025/6/29 5:14:36

WebRTC 服务器之Janus概述和环境搭建

1 概述 Janus 是由 Meetecho 开发的通用 WebRTC 服务器，它为构建 WebRTC 应用程序提供了一个模块化框架。服务器目标：Janus WebRTC 网关被设计为轻量级、通用的 WebRTC 服务器，除了实现以下方法外，它本身不提供任何功能&#xff1…...

编程日记 2025/6/29 7:27:40

mcp+llm+rag

MCPRAG简介前言一、MCP是什么？二、MCP工作原理（1. MCP Hosts（主机）（2.MCP Clients（客户端）(3. MCP Servers（服务端）(4. Local Data Sources（本地数据源&…...

编程日记 2025/7/9 2:29:24

Seata RM的事务提交与回滚源码解析

文章目录前言一、RM提交事务二、RM回滚事务2.1、undo校验逻辑2.2、执行回滚逻辑总结RM 的事务提交与回滚行为说明（基于 Seata AT 模式）1. 提交阶段（Phase Two Commit）2. 回滚阶段（Phase Two Rollback） 前…...

编程日记 2025/6/29 7:55:25

Ubuntu 24.04 完整Docker安装指南：从零配置到实战命令大全

Ubuntu 24.04 完整Docker安装指南：从零配置到实战命令大全文章目录 Ubuntu 24.04 完整Docker安装指南：从零配置到实战命令大全1. 安装 Docker2. 配置 Docker 镜像加速器2.1 配置 Docker 镜像源2.2 重启 Docker 服务 3. Docker 常用命令3.1 Docker 常用命…...

编程日记 2025/7/5 10:48:56

设计模式简述（十七）备忘录模式

备忘录模式描述组件使用描述备忘录模式用于将对象的状态进行保存为备忘录，以便在需要时可以从备忘录会对象状态；其核心点在于备忘录对象及其管理者是独立于原有对象之外的。常用于需要回退、撤销功能的场景。组件原有对象（包含自身…...

编程日记 2025/6/29 8:14:15

【ICMP协议深度解析】从网络诊断到安全实践

目录前言技术背景与价值当前技术痛点解决方案概述目标读者说明一、技术原理剖析核心概念图解核心作用讲解关键报文类型说明协议版本对比二、实战演示环境配置要求核心实验实现实验1：标准ping流程实验2：traceroute路径发现实验3：自定义ICMP…...

编程日记 2025/6/29 7:29:51

《应用开发突围指南：敏捷开发的实战精髓》

如何在应用开发中精准且深入地应用敏捷开发方法呢？让我们一同深入探索。敏捷开发，绝非仅仅是一种开发流程，更是一种蕴含深刻智慧的理念与思维方式。它与传统开发模式有着本质的区别，传统开发模式如同严谨的线性旅程，…...

编程日记 2025/6/29 6:55:14

【Mytais系列】SqlSession

MyBatis 的 SqlSession 是框架的核心接口之一，它是应用程序与 MyBatis 交互的顶层 API，用于执行 SQL 命令、管理事务和访问数据库。以下是关于 SqlSession 的详细说明： 1. 核心功能 (1) 执行 SQL 操作增删改查：通过方法如 sele…...

编程日记 2025/6/29 5:40:33

【掌握 DDL】：SQL 中的数据库与表管理

掌握 DDL：SQL 中的数据库与表管理掌握 DDL：SQL 中的数据库与表管理数据库 DDL创建数据库查看数据库查看所有数据库查看数据库创建语句进入数据库删除数据库备份数据库备份恢复查看数据库连接深入理解数据库创建与删除数据库字符集与校验规则表 DLL创…...

编程日记 2025/6/29 5:19:26

第43周：GAN总结

目录摘要 Abstract 计算机视觉中的分类架构变体损失变体时间序列中的GAN 连续型GAN 离散型GAN 总结摘要本周总结了GAN的变形，主要从图像处理和时间序列生成两部分入手，分别找出了其中比较经典的几种GAN变种模型，简单分析了…...

编程日记 2025/6/29 6:54:31

安卓基础（MediaProjection）

1. Display 类作用：代表显示设备（手机屏幕、外接显示器）常用方法： display.getRotation() // 获取屏幕方向（横屏/竖屏） display.getRefreshRate() // 获取屏幕刷新率（如&…...

编程日记 2025/6/28 20:04:39

Android Compose 物联网（IoT）UI 组件库封装指南

Android Compose 物联网封装组件在物联网(IoT)应用开发中，使用Jetpack Compose可以创建现代化、响应式的用户界面。以下是一些针对物联网场景的Compose封装组件思路和实现方法： 常用物联网组件封装 1. 设备状态指示器 Composable fun DeviceStatusI…...

编程日记 2025/6/29 7:58:58

实用在线工具箱OmniTools

简介 OmniTools 是一个自托管的网络应用，提供多种在线工具，旨在简化日常任务。它包含了一系列独立的、小型但实用的工具，涵盖了文件处理、文本操作、网络请求、系统监控等多个方面。 OmniTools 的设计理念是简单、易用、可定制，方…...

编程日记 2025/6/29 6:34:14

【AI大模型学习路线】第一阶段之大模型开发基础——第三章（大模型实操与API调用）单轮对话与多轮对话调用。

【AI大模型学习路线】第一阶段之大模型开发基础——第三章（大模型实操与API调用）单轮对话与多轮对话调用？ 【AI大模型学习路线】第一阶段之大模型开发基础——第三章（大模型实操与API调用）单轮对话与多轮对话调用&…...

编程日记 2025/6/29 6:37:24

数字化转型进阶：26页华为数字化转型实践分享【附全文阅读】

本文分享了华为数字化转型的实践经验和体会。华为通过数字化变革，致力于在客户服务、供应链、产品管理等方面提高效率，并把数字世界带入每个组织，构建万物互联的智能世界。华为的数字化转型愿景是成为行业标杆，通过推进数字化战略、构建面向业务数字化转型的IT组织阵型、坚…...

编程日记 2025/6/29 5:22:45

Go语言的优势与应用场景 -《Go语言实战指南》

一、 Go语言的五大核心优势 1. 语法简洁，开发高效 Go语言借鉴了C语言的表达方式，但去掉了多余复杂的特性（如继承、多态、异常处理等），语法风格清晰明了，极大地降低了学习成本： • 无需头文件…...

编程日记 2025/6/29 5:25:14

3D人物关系图开发实战：Three.js实现自动旋转可视化图谱（附完整代码）

3D人物关系图开发实战：Three.js实现自动旋转可视化图谱效果核心解析场景初始化自动旋转控制器节点创建（带图片和标签）关系连线动画循环数据格式说明代码效果本文将带您使用Three.js实现一个带自动旋转功能的3D人物关系图谱，核…...

编程日记 2025/6/28 20:04:33

文件操作-

1. 为什么使⽤⽂件？ 如果没有⽂件，我们写的程序的数据是存储在电脑的内存中，如果程序退出，内存回收，数据就丢失了，等再次运⾏程序，是看不到上次程序的数据的，如果要将数据进⾏持久化…...

编程日记 2025/6/29 6:51:44

硬件零基础入门（尚硅谷）

1 一个碳原子有一个自由电子。所以能够导电。金刚石四个都是都弄成共价键了，所以没有自由电子不能自由电子。 2 新的电子进来，因为互斥电荷进行了定向运动，产生了能量。两边电子平衡就停止了。所以电池的负极有电子。电荷就是质子和电…...

编程日记 2025/6/29 6:46:21

【Ai零件】高德开放平台MCP的API-key注册

前言基本操作文档，为n8n等平台，调用高德MCP服务做准备，本文记录其API-Key的生成步骤。操作步骤高德开发平台官网：https://lbs.amap.com/ 完成后，进入控制台界面: 创建新应用进入【应用管理】，点击页…...

编程日记 2025/7/15 21:08:22

安卓基础（startActivityForResult和onActivityResult）

onActivityResult 方法有三个参数： requestCode：启动 Activity 时传入的请求码，用于区分不同的启动请求。resultCode：返回结果的状态码，通常为 RESULT_OK 或 RESULT_CANCELED。data：一个 Intent 对象&…...

编程日记 2025/6/29 5:28:29

悬浮窗 import android.app.Service; import android.content.Context; import android.graphics.PixelFormat; import android.os.IBinder; import android.view.Gravity; import android.view.LayoutInflater; import android.view.View; import android.view.WindowManager…...

编程日记 2025/7/15 14:46:44

《windows GCC 版本升级到9以上》

《windows GCC 版本升级到9以上》在 Windows 系统上升级 GCC 到 9 以上版本通常有两种主流方案：MinGW-w64 和 WSL（Windows Subsystem for Linux）。以下是具体操作步骤：方案一：使用 MinGW-w64（原生 Windows 环境）步骤 1：安装 MSYS2 MSYS2 是 Windows 上的软件分发…...

编程日记 2025/6/29 7:29:05

LeetCode —— 102. 二叉树的层序遍历

😶‍🌫️😶‍🌫️😶‍🌫️😶‍🌫️Take your time ! 😶‍🌫️😶‍🌫️😶‍🌫️😶‍🌫️…...

编程日记 2025/6/29 5:29:06

Python面向对象编程实战：从类定义到高级特性的进阶之旅（2/10）

摘要：本文介绍面向对象编程基础概念，包括类与对象、封装、继承和多态等。以Python语言为例，详细讲述了类的定义与使用、构造函数与析构函数、类的访问控制等。面向对象编程通过将数据和操作封装在一起，提高代码的模块化和可维护性…...

编程日记 2025/6/29 7:35:01

【AI论文】DeepCritic：使用大型语言模型进行有意识的批判

摘要：随着大型语言模型（LLMs）的快速发展，对其输出提供准确的反馈和可扩展的监督成为一个紧迫而关键的问题。利用LLM作为评判模型来实现自动化监督是一种有前景的解决方案。在这项工作中，我们专注于研究和提高LLM的数…...

编程日记 2025/7/12 23:46:51

硬件工程师面试常见问题（12）

第五十六问：PCI总线基本知识关于PCI总线的描述,错误的是:（A）(4分) A.PCI总线是一个16位宽的总线。 B.PCI的地址线与数据线是复用的。 C.PCI是一种独立于处理器的总线标准,可以支持多种处理器。 D.PCI支持即插即用功能。解释： …...

编程日记 2025/6/29 7:27:34

大数据Spark（五十八）：Spark Pi介绍

文章目录 Spark Pi介绍 Spark Pi介绍 Spark Pi是Apache Spark官方提供的一个示例程序，该案例使用 Spark 进行分布式计算，通过蒙特卡罗方法估算圆周率（π）的值，其估算π原理如下： 上图中，正方形…...

编程日记 2025/7/9 11:54:33

深入理解 HttpExchange_Java 中构建 HTTP 服务的基础组件

1. 引言 1.1 Java 中的轻量级 HTTP 服务需求随着微服务、工具类应用和嵌入式系统的兴起，开发者对轻量级 HTTP 服务的需求日益增长。相比引入庞大的框架（如 Spring Boot），使用 JDK 原生 API 构建 HTTP 服务成为一种快速、低依赖的替代方案。 JDK 提供了 com.sun.net.htt…...

编程日记 2025/6/29 7:29:19

MaC QT 槽函数和Lambda表达式

在C Qt框架中，槽函数（Slot）是一种特殊的成员函数，用于响应信号（Signal）的触发，从而实现对象间的通信和事件处理。 #include<QMessageBox>//包含槽函数的头文件 //定义槽函数响应特定的信…...

编程日记 2025/6/29 7:57:30

JMM 与 JVM 运行时数据区有什么区别和联系？

JMM（Java Memory Model）和 JVM 运行时数据区（JVM Runtime Data Areas）是 Java 内存管理中的两个不同但密切相关的概念。 1. JVM 运行时数据区 (JVM Runtime Data Areas) 是什么？ JVM 运行时数据区是 JVM 在程序执行过程…...

编程日记 2025/6/29 5:18:35

LeetCode Hot100题解

目录一、数组 & 字符串 1. 两数之和（简单） 2. 删除有序数组中的重复项（简单） 3. 移除元素（简单） 4. 合并两个有序数组（简单） 5. 买卖股票的最佳时机（简单&…...

编程日记 2025/6/29 6:43:48

基于Jenkins的DevOps工程实践之Jenkins共享库

文章目录前言Jenkins共享库结构1、共享库演示2、知识点补充3、实践使用共享库格式化输出日志4、groovy基础语法4.1、什么是 Groovy？4.2、groovy特点4.3、运行方法4.4、标识符4.5、基本数据类型4.5.1、string类型4.5.2、list类型 4.6、函数使用4.7、正则表达式 5、…...

编程日记 2025/6/29 6:39:20

【安装指南】Docker 安装最新版 Nginx 并进行项目的编排

目录一、Nginx 的介绍 1.1 开源版 Nginx ① 访问路由 ② 反向代理 ③ 负载均衡 ④ 内容缓存 ⑤ 可编程 1.2 商业版 Nginx Plus ① 负载均衡 ② 动态管理 ③ 安全控制 ④ 状态监控 ⑤ Kubernetes Ingress Controller ⑥ 流媒体 1.3 扩…...

编程日记 2025/6/29 6:48:17

MFC自定义控件开发与使用指南

MFC自定义控件开发与使用指南 1. 概述 MFC（Microsoft Foundation Classes）框架提供了丰富的内置控件，但在实际开发中，我们常常需要创建自定义控件来满足特定的界面需求。本文将详细介绍如何在MFC中开发自定义控件，并以CCustomTextControl为例，展示自定义控件的实现和使…...

编程日记 2025/6/29 5:14:39

Learning vtkjs之PolyDataNormals

法线可视化介绍 polydata法线可视化效果核心代码主要流程 const fullScreenRenderer vtkFullScreenRenderWindow.newInstance({background: [0, 0, 0],rootContainer: vtkContainerRef.current,});const renderer fullScreenRenderer.getRenderer();const renderWind…...

编程日记 2025/6/29 7:55:26

DeepSeek辅助学术写作之提交和出版以及评审过程分析提示词分享祝你顺利毕业~

目录 1.提交和出版 2.评审过程大家好这里是AIWritePaper官方账号，官网👉AIWritePaper~ 宝子们可以使用小编精选的“ChatGPT研究论文提示词”集合来创建研究论文。利用DeepSeek的智能回应生成详尽有效的内容，这样可以加快研究论文的策划、创…...

编程日记 2025/7/7 17:36:52

基于机器学习的心脏病数据分析与可视化（百度智能云千帆AI+DeepSeek人工智能+机器学习）健康预测、风险评估与数据可视化健康管理平台数据分析与处理

博主介绍： ✌我是阿龙，一名专注于Java技术领域的程序员，全网拥有10W粉丝。作为CSDN特邀作者、博客专家、新星计划导师，我在计算机毕业设计开发方面积累了丰富的经验。同时，我也是掘金、华为云、阿里云、InfoQ等平台…...

编程日记 2025/7/9 3:30:08

Kubernetes(k8s)学习笔记(四)--入门基本操作

本文通过kubernetes部署tomcat集群，来学习和掌握kubernetes的一些入门基本操作前提条件 1.各个节点处于Ready状态； 2.配置好docker镜像库(否则会出现ImagePullBackOff等一些问题)； 3.网络配置正常(否则即使应用发布没问题，浏…...

编程日记 2025/7/9 3:50:08

在Java项目中实现本地语音识别与热点检测，并集成阿里云智能语音服务

引言随着语音交互技术的发展，如何高效地处理用户的语音输入成为许多应用的重要课题。本文将详细介绍如何在一个Java项目中同时实现： 基于Vosk的本地语音识别：无需调用云端API即可完成语音到文本的转换。本地热点语音内容识别：对…...

编程日记 2025/6/29 5:14:55

C++八股--5--设计模式--适配器模式，代理模式，观察者模式

3. 观察者模式（也叫做观察者-监听者模式，发布-订阅模式） 主要关注对象的一对多关系，也就是多个对象都依赖于一个对象，当该对象状态改变时，其余对象都能得到对应的通知如：一组数据（数…...

编程日记 2025/7/4 13:58:55

Ubuntu下安装Node.js

一、引言 Ubuntu下安装Node.js主要有两种方式：通过apt安装和通过源码安装。本文主要讲解通过apt安装Node.js的方法。二、通过apt安装Node.js 安装Node.js： apt install nodejs 我之前已经安装过了，所以提示：“nodejs 已经是最…...

编程日记 2025/6/29 5:18:14

用单目相机和apriltag二维码aruco实现单目定位

目录一、核心流程与代码框架 1. ‌环境准备‌ 2. ‌ArUco定位实现 3. ‌AprilTag定位实现（需额外安装Apriltag库） 二、关键优化点 1‌.亚像素角点优化 2‌ 多标签联合定位三、性能指标（实测） 四、常见问题 ‌检测失败…...

编程日记 2025/6/29 6:39:41

AIGC算力消耗白皮书：Stable Diffusion vs Midjourney的架构成本差异

引言：文生图模型的算力经济学悖论当Midjourney单日处理超过4000万张图像请求时，其云服务算力成本却低于Stable Diffusion开源方案的37%。这揭示了一个核心矛盾：开源模型的架构自由度与闭源系统的商业优化之间存在根本性博弈。本文基于H800 …...

编程日记 2025/6/29 5:14:49

介绍 PHP-FPM 和 Python WSGI

我来详细介绍 PHP-FPM 和 Python WSGI，它们是现代Web开发中替代传统CGI的高性能解决方案，分别针对PHP和Python优化。 1. PHP-FPM（FastCGI Process Manager） 是什么？ PHP-FPM 是PHP的 FastCGI 进程管理器，…...

编程日记 2025/7/14 11:54:13

赛季7靶场 -- Checker --User flag

本系列仅说明靶场的攻击思路，不会给出任何的详细代码执行步骤，因为个人觉得找到合适的工具以实现攻击思路的能力也非常重要。root要逆向，没做了，但是user flag也有借鉴意义，关于2FA的绕过我们有必要了解 1.首先Nmap扫描…...

编程日记 2025/6/29 5:14:48

【c语言】数据在内存中的存储

一、大小端字节序大端字节序：数据的低字节内容存放在内存的高地址处，数据的高字节内容存放在内存的低地址处，对于0x11223344 小端字节序：数据的低字节内容存放在内存的低地址处，数据的高字节内容存放在内存的高地…...

编程日记 2025/6/29 5:17:44