Django：阻止外部查询字符串请求

Question

我从事网络开发已经几个月了，但一直遇到这个棘手的问题。页面通常使用查询字符串来请求内容，该查询字符串通常包含有意义的数据，例如数据库中的 id。一个例子是一个链接，例如：

http://www.example.com/posts?id=5

我一直在尝试想出一个好的策略来防止用户在没有从链接访问它的情况下手动输入 id 值——我只想确认通过我的网站上显示的链接发出的请求。此外，该网站可能没有身份验证系统并允许匿名浏览；话虽如此，这些信息并不是特别敏感，但我仍然不喜欢无法控制对某些信息的访问的想法。我想，一种选择是对此类页面使用 HTTP POST 请求——我不相信用户可以模拟 POST 请求，但我可能是错的。

此外，用户可以为 id 输入任意数字，最终请求数据库中不存在的记录。当然，我可以验证请求的 ID，但这样我就会浪费资源来适应此检查。

有什么想法吗？我正在使用 django，但任何编程语言的通用策略都会很好。谢谢。

Answer 1

首先，在 GET 和 POST 之间进行选择：用户可以模拟任何类型的请求，因此 POST 对此没有帮助。在两者之间进行选择时，最好根据用户正在采取的操作或他们与您的内容交互的方式来决定。他们是否收到页面或向您发送数据（表单就是明显的例子）？对于检索某种帖子的情况，GET 是合适的。

另外值得注意的是，如果内容适合添加书签，则 GET 是正确的选择。仅仅基于引荐来源网址提供 URL——正如您所说，“防止用户在没有从链接访问它的情况下手动输入 id 的值”——是一个糟糕的主意。这会给你带来无数的麻烦，并且对于用户来说可能不是一个好的体验。

作为一般原则，避免依赖数据库记录的主键。该键（在您的情况下 id=5）应纯粹视为自动增量字段，以防止记录冲突，即保证表中的所有记录始终具有唯一的字段。该 ID 字段是一个后端实用程序。不要将其暴露给您的用户，也不要自己依赖它。

如果你不能使用ID，你用什么？常见的习惯用法是使用记录的日期、slug或两者。如果您正在处理帖子，请使用发布/创建日期。然后添加一个文本字段，其中包含 URL 友好和描述性单词。称其为 slug，并阅读 Django 的 models.SlugField更多信息。此外，还可以查看基本上任何新闻网站上的文章的 URL。您的最终网址将类似于 http://www.example.com/posts/2012/01/19/this-is-cool/

现在您的网址看起来很友好，Google- fu SEO 的好处是可以添加书签并且不可猜测。因为您不依赖于后端数据库固定任意 ID，所以您可以自由地...恢复备份数据库转储、移动数据库、将自动递增数字 ID 更改为 UUID 哈希，等等。只有您的数据库会关心，而不是作为程序员的您和您的用户。

哦，不要过度担心用户“请求不存在的记录”或“验证请求的 ID”......无论如何你都必须这样做。它不会消耗不必要的资源。这就是数据库支持的网站的工作原理。您必须将请求连接到数据。如果请求不正确，您将返回 404。您的网络服务器会对不存在的 URL 执行此操作，并且您需要对不存在的数据执行此操作。查看 Django 的 get_object_or_404()想法/实施。

Answer 2

我知道有两种方法可以有效地做到这一点，因为基本上没有办法阻止某人伪造任何请求。

第一个是不要在查询参数中使用裸 ID。相反，生成一个大的随机数，并从中建立链接。您必须在数据库中保留一个表，将随机数映射到它们所代表的实际 ID，并且最终必须清理该表。这实现起来相当简单，但需要一些存储空间，并且有时需要对存储的数据进行一些管理。

第二种方法是在建立链接时对数据进行签名。通过将加密签名附加到数据中，并在发出请求时验证签名，您可以确保只有您的 Web 服务可能创建了该链接。即使请求本身是“伪造的”（可能被添加书签、写下来、复制并粘贴到另一个浏览器中），您也知道您的站点已经授权了该 URL。

为此，您需要使用您正在签名的数据（例如，只是“id”值，或者可能是 id 和您签署数据的时间）和密钥来创建消息身份验证代码 (MAC)您只保留在您的服务器上。

然后，在您看来，您获取 id 值（或 id 和时间戳，如果您正在使用的话）并再次构造 MAC，并查看它们是否匹配。如果有任何差异，您将因请求被篡改而拒绝该请求。

查看 hmac 模块 的 python 文档，以及 hashlib 模块 了解所有详细信息。

您可以在 python 中生成如下链接：

settings.py:

hmac_secret_key = '12345'

views.py:

import time, hmac, hashlib
from django.conf import settings

def some_view(request):
    ...
    id = 5
    time = int(time.time())
    mac = hmac.new(
        settings.hmac_secret_key,
        '%d/%d' % (id, time),
        hashlib.sha1)
    url = 'http://www.example.com/posts/id=%d&ts=%d&mac=%s' % (
        id, time, mac.hexdigest())
    # Now return a template with that url in it somewhere

要在另一个视图中验证它，您将使用如下代码：（警告，警告，不健壮，仍有大量错误检查要做）

def posts_view(request):
    id = int(request.GET['id'])
    ts = int(request.GET['ts'])
    mac_from_url = request.GET['mac']

    computed_mac = hmac.new(
        settings.hmac_secret_key,
        '%d/%d' % (id, time),
        hashlib.sha1)

    if mac_from_url <> computed_mac:
        raise SomeSecurityException()

    # Now you know that the request is legit. 
    # You can check the timestamp here, too, if you like.

Answer 3

我不知道这是否是正确的方法，但也许你可以将 GET 请求后重定向的 url 保存到会话中，并编写一个 decorator< /code> 这样，如果会话有该 url，则将他带到该页面。否则会出现 404 错误或其他错误。