Flask-Grundlegende Inhalte-Fünf

I、一个综上小结的实例--转账demo

需求：用户通过username = admin，password = 1234登录转账界面，点击转账按钮后提示转账xxx元到xxx账户成功
分析：此处我们应用wtf和cookie来进行验证用户登录，然后用两个视图函数模拟转账

首先，根据创建一个app-transferdemo，根据以往的经验我们先导入几个包

from flask import Flask, request, render_template, redirect, url_for, flash, make_response
from flask_wtf import FlaskForm
from wtforms import StringField, PasswordField, SubmitField
from wtforms.validators import DataRequired, EqualTo

app = Flask(__name__)


if __name__ == '__main__':
    app.run(port=5003, debug=True)

其中make_response相当于Django内的Httpresponse

继而，根据wtf的验证方式，我们需要定义一个登陆验证表单

class RegisterForm(FlaskForm):
    username = StringField("用户名：", validators=[DataRequired("请输入用户名")], render_kw={"placeholder": "请输入用户名"})
    password = PasswordField("密码", validators=[DataRequired("请输入密码"),render_kw={"placeholder": "请输入密码"}])
    submit = SubmitField("登陆")

编写相应的登录界面logintrans.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<form action="" method="post">
    {{ form.username.label }}{{ form.username }}<br>
    {{ form.password.label }}{{ form.password }}<br>
    {{ form.submit }}<br>
    {{ form.csrf_token }}
</form>
{% for message in get_flashed_messages() %}
    {{ message }}
{% endfor %}
</body>
</html>

编写登录验证的视图函数index

@app.route('/', methods=["get", "post"])
def index():
    register_form = RegisterForm()
    if register_form.validate_on_submit():
        # 如果代码走到if里面证明表单验证有效
        username = request.form.get("username")
        password = request.form.get("password", "")
        if username == 'admin' and password == '1234':
            return redirect(url_for('transfer'))
    else:
        if request.method == 'POST':
            flash("表单参数有误或者不完整")

    return render_template("logintrans.html", form=register_form)

在登录后，跳转到transfer页面

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>转账页面</title>
</head>
<body>
<form action="" method="post">
    <label>账户</label><input type="text" name="account">
    <label>金额</label><input type="number" name="money">
    <input type="submit" value="转账">
</form>
</body>
</html>

编写相应的transfer视图函数

@app.route('/transfer',methods=["get", "post"])
def transfer():
    # 取出cookie确保登录
    username = request.cookies.get('username', '')
    if not username:
        # 无cookie说明未登录，需要登录
        return redirect(url_for('index'))
    if request.method == 'POST':
        account = request.form.get('account')
        money = request.form.get('money')
        return '转账{}元到{}账户成功'.format(account, money)
    # makeresponse 相当于Django内的Httpresponse
    response = make_response(render_template('transfer.html'))

    return response

启动服务，观察效果

II、CSRF攻击：跨站请求伪造

首先我们创建两个应用weba、webb，基于转账功能，此处我们不应用wtf验证
weba.py

from flask import Flask, request, render_template, redirect, url_for, flash, make_response
from flask_wtf import FlaskForm
from wtforms import StringField, PasswordField, SubmitField
from wtforms.validators import DataRequired, EqualTo

app = Flask(__name__)


# 自定义一个表单类
class RegisterForm(FlaskForm):
    username = StringField("用户名：", validators=[DataRequired("请输入用户名")], render_kw={"placeholder": "请输入用户名"})
    password = PasswordField("密码", validators=[DataRequired("请输入密码")])
    password2 = PasswordField("确认密码", validators=[DataRequired("请输入确认密码"), EqualTo("password", "两次密码不一致")])
    submit = SubmitField("注册")


app.secret_key = 'dasdasdsadas'


@app.route('/', methods=["get", "post"])
def index():
    if request.method == 'POST':
        # 取出表单数据
        username = request.form.get("username")
        password = request.form.get("password", "")
        password2 = request.form.get("password2", "")
        if not all([username, password]):
            print('参数error')
        else:
            print(password, username)
            if username == 'admin' and password == '1234':
                # 登录成功跳转转账页面
                response = redirect(url_for('transfer'))
                response.set_cookie('username', username)
                return response
            else:
                print('password error')
    return render_template("login2.html")


@app.route('/transfer',methods=["get", "post"])
def transfer():
    # 取出cookie确保登录
    username = request.cookies.get('username', '')
    if not username:
        # 无cookie说明未登录，需要登录
        return redirect(url_for('index'))
    if request.method == 'POST':
        account = request.form.get('account')
        money = request.form.get('money')
        return '转账{}元到{}账户成功'.format(account, money)
    # makeresponse 相当于Django内的Httpresponse
    response = make_response(render_template('transfer.html')
                             )
    return response


if __name__ == '__main__':
    app.run(port=5003, debug=True)

login2.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<form action="" method="post">
    <label>用户名</label><input type="text" name="username">
    <label>密码</label><input type="password" name="password">
    <input type="submit" value="登录">
</form>
</body>
</html>

webb.py

from flask import Flask, render_template

app = Flask(__name__)


@app.route('/', methods=["get", "post"])
def index():
    return render_template('csrf-index.html')


if __name__ == '__main__':
    app.run(port=5004, debug=True)

csrf-index.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>袭击网站A</title>
</head>
<body>
<form action="" method="post">
    <input type="hidden" name="account" value="999">
    <input type="hidden" name="money" value="111">
    <input type="submit" value='点击领取优惠券'>
</form>
</body>
</html>

在建立好如上应用后，我们尝试模拟csrf攻击，由webb攻击weba
由于weba是一个登录后的转账页面，为了攻击该转账过程，尝试修改csrf-index.html内form的action

<form action="http://127.0.0.1:5003/transfer" method="post">

启动两个app，清除网站的cookie，然后点击点击领取优惠券该按钮查看过程。

我们可以发现，当admin未登录时，点击按钮返回登录界面。当用户admin登录后，我们点击按钮时，会提示转账信息，而该转账信息并未来自于admin用户，而如何防治这种攻击呢？
我们可以利用csrf_token的方式进行校验
首先我们编辑生成csrf_token的方法csrf_g.py

import base64
import os


def generate_csrf():
    return bytes.decode(base64.b64encode(os.urandom(48)))


print(generate_csrf())

在每次转账前都生成一个csrf_token使得每次生成的csrf_token值都是不一样的，利用浏览器的无法跨站请求cookie的协议，webb无法请求weba的cookie

修改weba内的transfer视图，添加验证csrf_token的内容：

import csrf_g

def transfer():
    # 取出cookie确保登录
    username = request.cookies.get('username', '')
    if not username:
        # 无cookie说明未登录，需要登录
        return redirect(url_for('index'))
    if request.method == 'POST':
        account = request.form.get('account')
        money = request.form.get('money')

        # 取表单中的csrf_token
        form_csrf_token = request.form.get('csrf_token')
        # 取cookie内csrf_token
        cookie_csrf_token = request.cookies.get('csrf_token')

        if form_csrf_token != cookie_csrf_token:
            return "非法操作"
        else:
            return '转账{}元到{}账户成功'.format(account, money)
    csrf_token = csrf_g.generate_csrf()
    # makeresponse 相当于Django内的Httpresponse
    response = make_response(render_template('transfer.html', csrf_token=csrf_token))
    response.set_cookie('csrf_token', csrf_token)
    return response

而在多数实际操作的过程中，我们不必过于麻烦，可以使用flask已封装的方法，即CsrfProtect模块，此处我们应用的是Flask 1.1.2。

我们找到之前我们用wtf表单进行的登录验证app，利用CsrfProtect模块添加验证内容

from flask_wtf.csrf import CSRFProtect, CSRFError

CSRFProtect(app)

# 添加错误装饰器
@app.errorhandler(CSRFError)
def csrf_error(reason):
    return render_template('csrf_error.html', reason=reason), 400

新建csrf_error.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
ERROR
</body>
</html>

修改wtf.html

<form action="" method="post">
    {{ form.username.label }}{{ form.username }}<br>
    {{ form.password.label }}{{ form.password }}<br>
    {{ form.password2.label }}{{ form.password2 }}<br>
    {{ form.submit }}<br>
    <input type="hidden" name="csrf_token" value="{{ csrf_token() }}" />
</form>

实现csrf保护

而对于添加csrf保护的方法不仅仅于此，具体内容可通过官方文档 CsrfProtect深入了解

III、关联数据库方式SQLAlchemy

在学习完之前的预备内容后，我们大致了解了Flask相关的一些核心内容，而我们接下来要继续深入了解Flask，而这就不得不了解Flask的ORM框架结构，因此，我们需要先体会一下Flask内管理数据库的方式。在此处我们仅仅做一个引例，在下一章中将继续深入了解该内容。

在引例子中，我们将涉及一些关联数据库的基础操作，请自行体会。

预备过程需要安装 flask_sqlalchemy、mysqlclient并创建一个pure python 的项目test4，创建数据库flask_test

编写一个db_demo.py

from flask import Flask
from flask_sqlalchemy import SQLAlchemy

app = Flask(__name__)
# 设置数据库连接
# 设置格式app.config['SQLALCHEMY_DATABASE_URI']  = 'mysql://用户名:密码@数据库端口地址/数据库名称'
app.config['SQLALCHEMY_DATABASE_URI'] = 'mysql://root:123456@127.0.0.1:3306/test_flask'
# 动态追踪设置，可用于关闭某些Warning
app.config['SQLALCHEMY_TRACK_MODUFICATIONS'] = True
# 显示原始sql
app.config['SQLALCHEMY_ECHO'] = True
# 设置每次请求后自动提交数据库的改动
app.config['SQLALCHEMY_COMMIT_ON_TEARDOWN'] = True

# 数据库要和 app关联，db为SQLAlchemy的一个实例
db = SQLAlchemy(app)

# 创建一个角色类作为例子，继承于db
class Role(db.Model):
    # 定义表名
    __tablename__ = 'roles'
    id = db.Column(db.Integer, primary_key=True)
    name = db.Column(db.String(64), unique=True)


@app.route('/')
def index():
    return 'index'


if __name__ == '__main__':
    # 删除表
    db.drop_all()
    # 创建表
    db.create_all()
    ro1 = Role(name='admin')
    ro2 = Role(name='user')
    db.session.add_all([ro1, ro2])
    db.session.commit()
    app.run(port=5005)

注：Flask在创建表时并不会自动创建id主键值和表名，需要自行设计，这与Django是有区别的
运行服务后，打开数据库，观察结果。

最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 212,080评论 6赞 493
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 90,422评论 3赞 385
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 157,630评论 0赞 348
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 56,554评论 1赞 284
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 65,662评论 6赞 386
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 49,856评论 1赞 290
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 39,014评论 3赞 408
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 37,752评论 0赞 268
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 44,212评论 1赞 303
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 36,541评论 2赞 327
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 38,687评论 1赞 341
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 34,347评论 4赞 331
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 39,973评论 3赞 315
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 30,777评论 0赞 21
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 32,006评论 1赞 266
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 46,406评论 2赞 360
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 43,576评论 2赞 349