本文深入探讨了Flask应用中跨站请求伪造（CSRF）攻击的原理及其防护机制。我们将详细解释CSRF令牌如何工作，何时需要启用CSRF保护（包括非登录状态和GET请求的考量），并演示如何利用Flask-WTForms实现这一安全措施，包括使用空表单进行纯CSRF令牌验证的场景，旨在提供一套全面的Flask应用安全实践指南。
跨站请求伪造（CSRF）是一种常见的网络攻击，其核心思想是攻击者诱导用户在不知情的情况下，向其已登录的某个合法网站发送一个恶意请求。由于用户已经登录，浏览器会自动带上用户的会话凭证（如Cookie），导致合法网站误以为是用户主动发起的请求，从而执行攻击者预设的操作，例如修改密码、转账、更改邮箱等敏感信息。
攻击场景示例：
假设您的Flask应用有一个URL路径用于更新用户的邮箱地址，例如 https://yourgreatapp.com/updatemail?email=new@example.com。当用户登录后，访问这个URL会将其邮箱更新为new@example.com。
攻击者可以构造一个恶意链接，例如 https://yourgreatapp.com/updatemail?email=attacker@attacker.com，并通过邮件、聊天或恶意网站等方式诱骗已登录的用户点击。一旦用户点击，或者在某些情况下甚至无需点击（例如通过<img>标签的src属性加载），浏览器就会带着用户的登录Cookie向yourgreatapp.com发送请求。服务器收到请求后，由于Cookie验证通过，会执行邮箱更新操作，将用户的邮箱更改为攻击者的邮箱，进而可能导致用户账户被接管。
为了对抗CSRF攻击，最常见的防御机制是使用CSRF（Cross-Site Request Forgery）令牌。CSRF令牌的工作原理如下：
由于攻击者无法预测或获取到这个随机生成的CSRF令牌，因此他们无法构造一个包含有效令牌的恶意请求，从而有效阻止了CSRF攻击。
理解何时需要CSRF保护是构建安全应用的关键。
CSRF保护并非仅限于“已登录”路由。其核心在于防止用户在已登录状态下执行非自愿的操作。因此，任何可能导致服务器状态改变的操作，只要该操作可以通过用户当前的会话（无论是否是明确的“登录”会话，只要有可用的凭证）来执行，就应该受到CSRF保护。
例如，一个“忘记密码”功能，如果用户在某个服务中处于登录状态（即使不是在执行“忘记密码”的那个应用），并且该功能通过用户会话凭证来识别用户并重置密码，那么它也需要CSRF保护。
简而言之，任何修改服务器状态（如数据库记录、用户配置等）的请求都应受到CSRF保护，无论用户是否处于传统意义上的“登录”状态，只要请求依赖于用户的浏览器会话信息。
HTTP规范规定，GET请求应该是幂等的（idempotent）和安全的（safe），即不应该对服务器状态产生副作用。因此，原则上，GET请求不需要CSRF保护，因为它们不应该用于修改数据。
如果您的应用中存在通过GET请求修改服务器状态的情况（这是一种不良实践），那么理论上它也可能遭受CSRF攻击。但正确的做法是，将所有修改服务器状态的操作都通过POST、PUT或DELETE等HTTP方法来完成，并对这些方法进行CSRF保护。
对于纯粹用于数据查询或页面导航的GET请求，CSRF保护是不必要的。Flask-WTForms通常在表单提交时验证CSRF令牌，这主要针对POST请求。
Flask-WTForms是一个强大的表单处理库，它与Flask紧密集成，并提供了开箱即用的CSRF保护功能。
要启用Flask-WTForms的CSRF保护，您需要确保以下两点：
设置 SECRET_KEY： Flask应用必须配置一个强大的 SECRET_KEY。WTForms使用此密钥来加密和解密CSRF令牌。
from flask import Flask app = Flask(__name__) app.config['SECRET_KEY'] = 'your_super_secret_and_long_key_here' # 替换为随机生成的复杂密钥
默认启用： 默认情况下，Flask-WTF（Flask-WTForms的扩展）会启用CSRF保护。如果需要显式确认或在特定情况下禁用，可以通过 WTF_CSRF_ENABLED 配置项控制：
app.config['WTF_CSRF_ENABLED'] = True # 默认为True，通常无需显式设置
当您定义一个FlaskForm时，Flask-WTForms会自动在表单中包含一个CSRF令牌字段。
forms.py
from flask_wtf import FlaskForm
from wtforms import StringField, SubmitField
from wtforms.validators import DataRequired
class UpdateEmailForm(FlaskForm):
email = StringField('新邮箱', validators=[DataRequired()])
submit = SubmitField('更新邮箱')routes.py
from flask import Flask, render_template, request, flash, redirect, url_for
from forms import UpdateEmailForm # 假设forms.py在同一目录下
app = Flask(__name__)
app.config['SECRET_KEY'] = 'your_super_secret_and_long_key_here'
@app.route('/update_email', methods=['GET', 'POST'])
def update_email():
form = UpdateEmailForm()
if form.validate_on_submit(): # validate_on_submit() 会自动验证CSRF令牌
# 邮箱更新逻辑
new_email = form.email.data
# ... 更新用户邮箱到数据库 ...
flash(f'邮箱已更新为: {new_email}', 'success')
return redirect(url_for('update_email'))
return render_template('update_email.html', form=form)update_email.html
<!DOCTYPE html>
<html lang="zh">
<head>
<meta charset="UTF-8">
<title>更新邮箱</title>
</head>
<body>
<h1>更新邮箱</h1>
{% with messages = get_flashed_messages(with_categories=true) %}
{% if messages %}
<ul class="flashes">
{% for category, message in messages %}
<li class="{{ category }}">{{ message }}</li>
{% endfor %}
</ul>
{% endif %}
{% endwith %}
<form method="POST">
{{ form.csrf_token }} {# 自动渲染隐藏的CSRF令牌字段 #}
<div>
{{ form.email.label }}<br>
{{ form.email(size=32) }}<br>
{% for error in form.email.errors %}
<span style="color: red;">{{ error }}</span><br>
{% endfor %}
</div>
<div>
{{ form.submit() }}
</div>
</form>
</body>
</html>在上述代码中，{{ form.csrf_token }} 会在HTML中渲染一个隐藏的<input type="hidden" name="csrf_token" value="...">字段。当表单提交时，form.validate_on_submit() 会自动验证这个令牌。
有时，您可能需要一个表单来执行某个操作，但该操作不需要用户输入任何数据，只需要一个CSRF令牌来确保请求的合法性。例如，一个“注销”按钮或一个简单的确认操作。在这种情况下，可以定义一个“空表单”。
forms.py
from flask_wtf import FlaskForm
class EmptyForm(FlaskForm):
"""
一个不包含任何字段的表单，主要用于提交CSRF令牌。
适用于只需要验证CSRF令牌而无需用户输入数据的场景。
"""
passroutes.py
from flask import Flask, render_template, request, flash, redirect, url_for
from forms import EmptyForm # 假设forms.py在同一目录下
app = Flask(__name__)
app.config['SECRET_KEY'] = 'your_super_secret_and_long_key_here'
@app.route('/random_action', methods=['GET', 'POST'])
def some_route_function():
form = EmptyForm()
if request.method == 'POST': # 确保只有POST请求才触发状态改变并验证CSRF
if form.validate_on_submit(): # 此时只验证CSRF令牌
# 执行一些不需要用户输入但需要CSRF保护的操作
flash('一个随机操作已成功执行！', 'info')
# 假设这里会改变一些服务器状态
return redirect(url_for('some_route_function'))
else:
flash('CSRF令牌验证失败！', 'danger')
return render_template('random_action.html', form=form)random_action.html
<!DOCTYPE html>
<html lang="zh">
<head>
<meta charset="UTF-8">
<title>随机操作</title>
</head>
<body>
<h1>随机消息，这是表单唯一做的事情。</h1>
{% with messages = get_flashed_messages(with_categories=true) %}
{% if messages %}
<ul class="flashes">
{% for category, message in messages %}
<li class="{{ category }}">{{ message }}</li>
{% endfor %}
</ul>
{% endif %}
{% endwith %}
<form id="random_action_form" method="POST">
{# 渲染CSRF令牌 #}
{{ form.csrf_token }}
<p>点击下方按钮执行一个随机操作。</p>
<button type="submit">执行操作</button>
</form>
</body>
</html>注意事项：
通过以上步骤和最佳实践，您可以有效地在Flask应用中实现CSRF保护，从而显著提升应用的安全性，保护用户免受恶意攻击。
以上就是Flask应用中的CSRF防护：深入理解与Flask-WTForms实践的详细内容，更多请关注php中文网其它相关文章！
每个人都需要一台速度更快、更稳定的 PC。随着时间的推移，垃圾文件、旧注册表数据和不必要的后台进程会占用资源并降低性能。幸运的是，许多工具可以让 Windows 保持平稳运行。
广告Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号
471
收藏
