当前位置：首页 > news >正文

如何实现Flask应用程序的安全性

news 来源：原创 2025/7/28 1:43:50

在 Flask 应用中，确保安全性非常关键，尤其是当你将应用部署到公网环境中时。Flask 本身虽然轻量，但通过组合安全策略、扩展库和最佳实践，可以构建一个非常安全的 Web 应用。

一、常见 Flask 安全风险（必须防护）

安全问题	简要说明
CSRF（跨站请求伪造）	恶意网站诱导用户操作已登录站点
XSS（跨站脚本攻击）	攻击者注入 JavaScript 代码
SQL 注入	拼接 SQL 时被注入恶意语句
会话劫持 / Cookie 泄露	会话 ID 被窃取
弱密码存储	明文保存密码极其危险
无认证/授权机制	所有人都能访问敏感接口

二、Flask 应用安全性实现手段（推荐方案）

✅ 1. CSRF 防护 — Flask-WTF

使用 Flask-WTF 扩展自动为表单生成 CSRF Token
在每个表单中加入隐藏字段 _csrf_token

pip install flask-wtf

app.config['SECRET_KEY'] = 'xxx'
app.config['WTF_CSRF_ENABLED'] = True

✅ 2. 用户认证 / 授权 — Flask-Login + Flask-Principal

使用 Flask-Login 实现登录、登出、记住我、当前用户识别
可以配合 Flask-Principal 实现角色权限控制

pip install flask-login

from flask_login import LoginManagerlogin_manager = LoginManager()
login_manager.init_app(app)
login_manager.login_view = 'login'

✅ 3. 密码加密存储 — Werkzeug / bcrypt / passlib

from werkzeug.security import generate_password_hash, check_password_hash# 加密
hashed = generate_password_hash('mypassword')# 验证
check_password_hash(hashed, 'mypassword')

✅ 4. XSS 防护 — 使用 Jinja2 自动转义

Flask 默认开启 Jinja2 的模板自动转义机制

<!-- 自动防止 XSS -->
<p>{{ user_input }}</p>

⚠️ 只有你手动用 |safe 或 Markup() 才会绕过转义。

✅ 5. SQL 注入防护 — 使用 ORM（如 SQLAlchemy）

# 不建议
cursor.execute("SELECT * FROM users WHERE username='%s'" % username)# 推荐（自动防注入）
user = db.session.execute(text("SELECT * FROM users WHERE username = :username"),{'username': username}
)

或者使用 Flask-SQLAlchemy：

User.query.filter_by(username=username).first()

✅ 6. HTTPS 部署

使用 Gunicorn + Nginx 配合 Let's Encrypt 生成证书
强制跳转到 HTTPS：

@app.before_request
def enforce_https():if not request.is_secure:return redirect(request.url.replace("http://", "https://"))

✅ 7. 安全的 Cookie 使用

app.config['SESSION_COOKIE_SECURE'] = True  # 仅 HTTPS
app.config['SESSION_COOKIE_HTTPONLY'] = True  # JS 无法读取
app.config['REMEMBER_COOKIE_DURATION'] = timedelta(days=7)

✅ 8. 限制请求频率（防止爆破） — Flask-Limiter

pip install flask-limiter

from flask_limiter import Limiterlimiter = Limiter(app, default_limits=["100 per minute"])

✅ 9. 隐藏错误信息

@app.errorhandler(500)
def server_error(e):return "服务器错误，请联系管理员", 500

三、总结安全增强清单

安全措施	工具或方法
CSRF 防护	Flask-WTF
用户认证/权限	Flask-Login + Flask-Principal
密码加密	werkzeug.security / bcrypt
SQL 注入防护	Flask-SQLAlchemy / ORM
XSS 防护	Jinja2 自动转义
HTTPS 部署	Gunicorn + Nginx + SSL 证书
请求频率限制	Flask-Limiter
Cookie 安全配置	Secure + HttpOnly + Duration 控制
隐藏错误信息	自定义 errorhandler

如何实现Flask应用程序的安全性

在 Flask 应用中，确保安全性非常关键，尤其是当你将应用部署到公网环境中时。Flask 本身虽然轻量，但通过组合安全策略、扩展库和最佳实践，可以构建一个非常安全的 Web 应用。一、常见 Flask 安全风险（必须防护&#xf…...

编程日记 2025/7/28 1:43:50

【Redis】Redis的主从复制

文章目录 1. 单点问题2. 主从模式2.1 建立复制2.2 断开复制 3. 拓扑结构3.1 三种结构3.2 数据同步3.3 复制流程3.3.1 psync运行流程3.3.2 全量复制3.3.3 部分复制3.3.4 实时复制 1. 单点问题单点问题：某个服务器程序，只有一个节点（只搞一个…...

编程日记 2025/7/28 1:33:00

趣味编程：四叶草

概述：在万千三叶草中寻觅，只为那一抹独特的四叶草之绿，它象征着幸运与希望。本篇博客主要介绍四叶草的绘制。 1. 效果展示绘制四叶草的过程是一个动态的过程，因此博客中所展示的为绘制完成的四叶草。 2. 源码展示 #define _CR…...

编程日记 2025/7/28 1:40:45

HTTP 响应状态码总结

一、引言 HTTP 响应状态码是超文本传输协议（HTTP）中服务器对客户端（通常是 Web 浏览器）请求的响应指示。这些状态码是三位数字代码，用于告知客户端请求的结果，包括请求是否成功。响应被分为五个类别&#…...

编程日记 2025/7/28 1:24:11

C语言常见的文件操作函数总结

目录前言一、打开和关闭 1.fopen 细节 2.fclos 基本用法示例二、读写 1.fputc和fgetc 1）fputc 细节基本用法示例 2）fgetc 细节基本用法示例 2.fputs和fgets 1)fputs 细节基本用法示例 2)fgets 细节基本用法示例 3)puts的使用，以及为什…...

编程日记 2025/7/28 1:38:38

卫宁健康WiNGPT3.0与WiNEX Copilot 2.2：医疗AI创新的双轮驱动分析

引言：医疗AI的双翼时代在医疗信息化的浪潮中，人工智能技术的深度融入正在重塑整个医疗行业。卫宁健康作为国内医疗健康和卫生领域数字化解决方案的领军企业，持续探索AI技术在医疗场景中的创新应用。2025年5月10日，在第29届中国医院信息网络大会（CHIMA2025）上，卫宁健康…...

编程日记 2025/7/28 1:40:02

【GPT入门】第38课 RAG评估指标概述

这里写自定义目录标题一、RAG评估指标二、ragas 评估三、trulens 一、RAG评估指标二、ragas 评估 2.1 ragas介绍开源地址：https://github.com/explodinggradients/ragas 官方文档：https://docs.ragas.io/en/stable/从文本生成和文本召回两个维度&am…...

编程日记 2025/7/24 9:20:35

深度剖析多模态大模型中的视频编码器算法

写在前面随着多模态大型语言模型（MLLM）的兴起，AI 理解世界的能力从静态的文本和图像，进一步拓展到了动态的、包含丰富时空信息的视频。视频作为一种承载了动作、交互、场景变化和声音（虽然本文主要聚焦视觉部分）的复杂数据形式，为 MLLM 提供了理解真实世界动态和因果关…...

编程日记 2025/7/28 1:39:24

【递归、搜索与回溯算法】导论

📝前言说明： 本专栏主要记录本人递归、搜索与回溯算法的学习以及LeetCode刷题记录，按专题划分每题主要记录：（1）本人解法本人屎山代码；（2）优质解法优质代码&#xff…...

编程日记 2025/7/15 18:00:59

《智能网联汽车自动驾驶功能道路试验方法及要求》 GB/T 44719-2024——解读

目录 1. 适用范围 2. 关键术语 3. 试验条件 3.1 试验道路 3.2 试验车辆 3.3 试验设备 3.4 试验时间 4. 试验方法及要求 4.1 功能激活 4.2 动态驾驶任务执行 4.3 动态驾驶任务后援 4.4 状态提示 5. 附录A（核心环境要素） 6. 实施要点原文链接…...

编程日记 2025/7/24 4:04:00

path环境变量满了如何处理，分割 PATH 到 Path1 和 Path2

要正确设置 Path1 的值，你需要将现有的 PATH 环境变量中的部分路径复制到 Path1 和 Path2 中。以下是详细步骤： 步骤 1：获取当前 PATH 的值打开环境变量窗口： 按 Win R，输入 sysdm.cpl，点击确定。在系…...

编程日记 2025/7/25 19:52:33

实战项目1（02）

目录任务场景一【sw1和sw2的配置如下】任务场景二【sw3的配置】【sw4-6的配置】任务场景一某公司有生产、销售、研发、人事、财务等多个部门，这些部门分别连接在两台交换机（SW1和SW2）上，现要求给每个部门划分相应的V…...

编程日记 2025/7/21 12:26:59

m1 安装 Elasticsearch、ik、kibana

一、下载安装ES 1、下载地址 ES｜download 2、安装将下载的安装包解压到要安装的文件目录关闭 ES 的安全模式本地文本编辑器打开elasticsearch.yml配置文件,将红箭头指的地方改为 false3、启动 ES 启动命令进入 ES 的安装目录，进入bin文件目…...

编程日记 2025/7/24 19:01:39

游戏引擎学习第273天:动画预览

回顾并为一天的内容定下基调。目前我们正在编写角色的移动代码，实际上，我们已经在昨天完成了一个简单的角色跳跃的例子。所以今天的重点是，开始更广泛地讨论动画，因为我们希望对现有的动画进行调整，让它看起来更加令…...

编程日记 2025/7/22 22:07:16

JVM中的安全点是什么，作用又是什么？

JVM中的安全点（Safepoint） 是Java虚拟机设计中的一个关键机制，主要用于协调所有线程的执行状态，以便进行全局操作（如垃圾回收、代码反优化等）。它的核心目标是确保在需要暂停所有线程时，每个线程…...

编程日记 2025/7/20 6:17:56

游戏引擎学习第271天:生成可行走的点

回顾并为今天的内容设定背景我们昨天开始编写一些游戏逻辑相关的内容，虽然这部分不是最喜欢的领域，更偏好底层引擎开发，但如果要独立完成一款游戏，游戏逻辑也必须亲自处理。所以我们继续完善这部分内容。事实上，接下…...

编程日记 2025/7/25 13:44:45

FlySecAgent：——MCP全自动AI Agent的实战利器

最近，出于对人工智能在网络安全领域应用潜力的浓厚兴趣，我利用闲暇时间进行了深入研究，并成功开发了一款小型轻量化的AI Agent安全客户端FlySecAgent。什么是 FlySecAgent？ 这是一个基于大语言模型和MCP（Model-Contr…...

编程日记 2025/7/25 6:37:38

DAMA车轮图

DAMA车轮图是国际数据管理协会（DAMA International）提出的数据管理知识体系（DMBOK）的图形化表示，它以车轮（同心圆）的形式展示了数据管理的核心领域及其相互关系。以下是基于用户提供的关键词对D…...

编程日记 2025/7/22 16:02:07

使用vue3-seamless-scroll实现列表自动滚动播放

vue3-seamless-scroll组件支持上下左右无缝滚动，单步滚动，并且支持复杂图标的无缝滚动。核心特性多方向无缝滚动支持上下、左右四个方向的自动滚动，通过 direction 参数控制（默认 up），适用于新闻轮播、…...

编程日记 2025/7/27 20:30:01

Scrapyd 详解：分布式爬虫部署与管理利器

Scrapyd 是 Scrapy 官方提供的爬虫部署与管理平台，支持分布式爬虫部署、定时任务调度、远程管理爬虫等功能。本文将深入讲解 Scrapyd 的核心功能、安装配置、爬虫部署流程、API 接口使用，以及如何结合 Scrapy-Redis 实现分布式爬虫管理。通过本文&#x…...

编程日记 2025/7/26 10:38:53

mac环境配置（homebrew版）

文章目录【环境配置】HomebrewGitJavaMavenMySQLRedisNacosNode.js 【拓展-mac常见问题】mac文件损坏问题mac必装软件（Java开发版）zsh和bash配置文件区别【参考资料】查看每个版本可以用命令brew info xxx ps：每一个环境安装完之后都要关掉…...

编程日记 2025/7/23 18:19:14

19、DeepSeek LLM论文笔记

DeepSeek LLM 1. **引言**2、架构3、多步学习率调度器4、缩放定律1.超参数的缩放定律2. 估计最优模型和数据缩放 5、GQA分组查询注意力汇总deepseekDeepSeek LLM 技术文档总结1. **引言**2. **预训练**3. **扩展法则**4. **对齐（Alignment）**5. **评估*…...

编程日记 2025/7/23 1:22:06

基于LLM的6G空天地一体化网络自进化安全框架

摘要最近出现的6G空天地一体化网络（SAGINs）整合了卫星、空中网络和地面通信，为各种移动应用提供普遍覆盖。然而，SAGINs的高度动态、开放和异构的性质带来了严重的安全问题。构建SAGINs的防御体系面临两个初步挑战：1)…...

编程日记 2025/7/28 1:26:16

【Mac 从 0 到 1 保姆级配置教程 12】- 安装配置万能的编辑器 VSCode 以及常用插件

文章目录前言安装 VSCode基础配置常用插件1. 通用开发工具2. 编程语言支持3. 数据库工具4. 主题与界面美化5. 效率工具6. Markdown 工具7. 容器开发8. AI 辅助编程9. 团队协作最后系列教程 Mac 从 0 到 1 保姆级配置教程目录，点击即可跳转对应文章： 【…...

编程日记 2025/7/23 22:44:23

数据库与SQL核心技术解析：从基础到JDBC编程实战

数据库技术作为现代信息系统的核心，贯穿于数据存储、查询优化、事务管理等关键环节。本文将系统讲解数据库基础知识、SQL语言核心操作、索引与事务机制，并结合Java数据库编程（JDBC）实践，助你构建完整的数据库技术体系。…...

编程日记 2025/7/24 11:09:20

JUC并发编程(上)

一、JUC学习准备核心知识点：进程、线程、并发（共享模型、非共享模型）、并行预备知识： 基于JDK8,对函数式编程、lambda有一定了解采用了slf4j打印日志采用了lombok简化java bean编写二、进程与线程进程和线程概念两者对比…...

编程日记 2025/7/23 17:01:00

postgres--MVCC

PostgreSQL 的 MVCC（Multi-Version Concurrency Control，多版本并发控制） 是其实现高并发和高性能的核心机制，支持多个事务同时读写数据库而无需加锁阻塞。它的核心思想是通过保留数据的多个版本来避免读写冲突，从而提…...

编程日记 2025/7/27 16:52:41

nanodet配置文件分析

以下是针对 NanoDet-Plus-M-1.5x_416 配置文件的逐模块解析，以及调整参数的作用和影响范围： 1. 模型架构（model） Backbone（骨干网络） backbone:name: ShuffleNetV2model_size: 1.5x # 控制网络宽度&…...

编程日记 2025/7/24 10:41:07

【Linux网络】HTTP

应用层协议 HTTP 前置知识我们上网的所有行为都是在做IO，（我的数据给别人，别人的数据给我）图片。视频，音频，文本等等，都是资源答复前需要先确认我要的资源在哪台服务器上（网络IP&…...

编程日记 2025/7/23 23:51:41

Unity中AssetBundle使用整理(一)

一、AssetBundle 概述 AssetBundle 是 Unity 用于存储和加载游戏资源（如模型、纹理、预制体、音频等）的一种文件格式。它允许开发者将游戏资源打包成独立的文件，在运行时动态加载，从而实现资源的按需加载、更新以及减小初始安装包…...

编程日记 2025/7/23 2:14:32

CMOS内存的地址空间在主内存空间中吗？

CMOS内存（即CMOS RAM）的地址空间不位于主内存地址空间（如0x00000-0xFFFFF）内，而是通过独立的I/O端口地址进行访问，具体如下： 1. CMOS内存的物理存储与地址机制 CMOS RAM芯片通常集成在主板…...

编程日记 2025/7/25 15:14:48

大模型应用中常说的Rerank是什么技术?

Rerank技术详解一、定义与基本原理 Rerank（重排序）是一种在信息检索系统中用于优化搜索结果排序的技术，其核心目标是通过二次评估和排序候选文档，提升结果的相关性和准确性。其运作机制通常分为两阶段：初步检索：使用传统方法（如BM25关键词匹配或Embedding向量检索）…...

编程日记 2025/7/27 4:29:54

Python-MCPInspector调试

Python-MCPInspector调试使用FastMCP开发MCPServer，熟悉【McpServer编码过程】【MCPInspector调试方法】-> 可以这样理解：只编写一个McpServer，然后使用MCPInspector作为McpClient进行McpServer的调试 1-核心知识点 1-熟悉【McpServer编…...

编程日记 2025/7/27 7:26:53

C 语言数据结构基石：揭开数组名的面纱与计算数组大小

各类资料学习下载合集 https://pan.quark.cn/s/8c91ccb5a474 在前面的文章中，我们已经学习了 C 语言一维数组的定义和初始化。我们知道数组是用来存储一系列相同类型数据的集合，并通过下标来访问每个元素。但是，除了通过下标访问单个元素，数组名本身在 C 语言中也…...

编程日记 2025/7/26 1:32:00

Java高频面试之并发编程-15

hello啊，各位观众姥爷们！！！本baby今天又来报道了！哈哈哈哈哈嗝🐶 面试官：as-if-serial 是什么？单线程的程序一定是顺序执行的吗？ as-if-serial 规则定义： …...

编程日记 2025/7/22 22:58:48

MySQL数据库迁移SQL语句指南

MySQL数据库迁移SQL语句指南一、基础迁移方法 1. 使用mysqldump进行全量迁移 -- 导出源数据库（在命令行执行） mysqldump -u [源用户名] -p[源密码] --single-transaction --routines --triggers --events --master-data2 [数据库名] > migration…...

编程日记 2025/7/24 22:37:30

Vue:生命周期钩子

深入理解 Vue 的钩子函数（生命周期函数） Vue 的钩子函数（生命周期函数）是 Vue 实例在不同阶段自动调用的函数。可以在 Vue 实例的创建、更新、销毁等阶段插入自己的逻辑。钩子函数的作用想象一下，Vue 实例的生命周…...

编程日记 2025/7/28 1:26:16

深入理解设计模式之原型模式（Prototype Pattern）

一、为什么需要原型模式？ 在传统对象创建方式中，我们通过new关键字直接调用构造函数创建实例。但当遇到以下场景时： 对象初始化需要消耗大量资源（如数据库连接）需要创建的对象与现有实例高度相似希望屏蔽对象创建的复…...

编程日记 2025/7/25 6:38:35

K8S cgroups详解

以下是 Kubernetes 中 cgroups（Control Groups） 的详细解析，涵盖其核心原理、在 Kubernetes 中的具体应用及实践操作： 一、cgroups 基础概念 1. 是什么？ cgroups 是 Linux 内核提供的资源隔离与控制机制&#xff0c…...

编程日记 2025/7/26 18:22:29

ARMV8 RK3399 u-boot TPL启动流程分析 --start.S

上电后运行的第一支文件：arch/arm/cpu/armv8/start.S CONFIG_ENABLE_ARM_SOC_BOOT0_HOOK1 #include <asm/arch/boot0.h> 跳转到 arch/arm/include/asm/arch-rockchip/boot0.h CONFIG_SPL_BUILD1 b 1f ROCKCHIP_EARLYRETURN_TO_BROMno TINY_FRAMEWORKno …...

编程日记 2025/7/25 17:34:00

【网络原理】数据链路层

目录一. 以太网二. 以太网数据帧三. MAC地址四. MTU 五. ARP协议六. DNS 一. 以太网以太网是一种基于有线或无线介质的计算机网络技术，定义了物理层和数据链路层的协议，用于在局域网中传输数据帧。二. 以太网数据帧 1）目标地址 …...

编程日记 2025/7/26 23:32:14

保姆级教程|YOLO11改进】【卷积篇】【4】使用RFAConv感受野注意力卷积，重塑空间特征提取，助力高效提点

《------往期经典推荐------》一、AI应用软件开发实战专栏【链接】项目名称项目名称1.【人脸识别与管理系统开发】2.【车牌识别与自动收费管理系统开发】3.【手势识别系统开发】4.【人脸面部活体检测系统开发】5.【图片风格快速迁移软件开发】6.【人脸表表情识别系统】7.【…...

编程日记 2025/7/26 5:30:54

虚幻引擎5-Unreal Engine笔记之常用核心类的继承关系

虚幻引擎5-Unreal Engine笔记之常用核心类的继承关系 code review! 文章目录虚幻引擎5-Unreal Engine笔记之常用核心类的继承关系1.UE5中常用核心类的继承关系1.1.简化版1.2.plantuml图1.3.plantuml代码1.4.关于大写字母U和A2.1.组件和类的关系，组件也是类吗&…...

编程日记 2025/7/24 3:24:14

力扣2680题解

记录 2025.5.9 题目： 思路： 1.计算初始或值：首先计算数组中所有元素的按位或结果 allOr，这表示在不进行任何左移操作时数组的或值。 2.计算固定或值：在计算 allOr 的同时，计算一个 fixed 值，…...

编程日记 2025/7/24 4:50:18

搭建基于chrony+OpenSSL（NTS协议）多层级可信时间同步服务

1、时间同步服务的层级概念在绝大多数IT工程师实际工作过程中，针对于局域网的时间同步，遇到最多的场景是根据实际的需求，搭建一个简单的NTP时间同步服务以时间对局域网中的服务器、网络设备、个人电脑等基础设施实现同步授时功能。虽然这样…...

编程日记 2025/7/23 21:23:06

虚拟内存：深入解析与性能优化

文章目录虚拟内存的概念虚拟内存的实现方式虚拟内存的页面置换算法虚拟内存的性能影响结论在现代计算机系统中，虚拟内存（Virtual Memory）是一种至关重要的技术，它极大地提高了系统的多任务处理能力和内存利用率。本文将深入探讨…...

编程日记 2025/7/26 20:42:53

元数据和主数据

元数据和主数据是数据管理中的两个关键概念，其核心区别如下： 1. 定义与本质元数据（Metadata） “关于数据的数据”，用于描述数据的属性、结构、来源、用途等上下文信息。示例：数据库表的字段名称、数据类型…...

编程日记 2025/7/23 4:42:06

JavaScript事件处理全解析：从基础到最佳实践

在现代Web开发中，事件处理是构建交互式应用的核心技术。JavaScript提供了多种事件绑定方式，每种方法都有其适用场景和特点。本文将深入探讨7种主流的事件绑定方法，通过代码示例和原理分析，帮助开发者选择最合适的解决方案。一、…...

编程日记 2025/7/25 7:54:18

高级数据结构：线段树

线段树概述线段树是一种处理区间问题的优越算法，也是算法竞赛的常客。线段树的特点是，类似于一棵二叉树，将一个序列分解成多个区间并储存在二叉树上。例如，把区间 [ 1 , 10 ] [1,10] [1,10]作为树的根节点，然后把…...

编程日记 2025/7/20 15:03:52

精讲C++四大核心特性：内联函数加速原理、auto智能推导、范围for循环与空指针进阶

前引：在C语言长达三十余年的演进历程中，每一次标准更新都在试图平衡性能与抽象、控制与安全之间的微妙关系。从C11引入的"现代C"范式开始，开发者得以在保留底层控制能力的同时，借助语言特性大幅提升代码的可维护性与安全…...

编程日记 2025/7/24 11:28:57