码厩技术博客

#17 Tornado Remote IP

由于 Tornado 部署在 Nginx 后面，通过 self.request.remote_ip 总是只能拿到 Nginx 地址。

#16 Nginx location 指令

Syntax : location [ = | ~ | ~* | ^~ ] uri { ... }
location @name { ... }
Default: —
Context: server, location

1. 执行顺序是：完整匹配（= uri） > 前缀匹配（^~ uri/uri） > 正则匹配（~/~*）。
2. 优先级是：完整匹配 > 正则匹配 > 前缀匹配（越长优先级越高）。
3. 完整匹配、正则匹配匹配上之后直接返回，前缀匹配则不是。

#15 记一次 XSS 漏洞发现过程

某用户委托安全公司对本司（SendCloud）短信发送业务做安全检测，发现咱们的上游通道某一环节的安全漏洞。
跟踪这个过程，真的十分有趣。
这是 XSS 第一次发生在我身边，怎么也不会想到有人会犯这么弱智的错误。最基本的页面输出转义都没做。
页面内容输出转义、SQL 防注入、表单的 CSRF token 校验，应该算是 Web 站点搭建的基础工作吧！

#14 安全的 Cookie

本文讲的是 Tornado 框架中的 “secure cookie” 实现。

#13 常见 Web 缓存服务

Apache，Nginx 都有缓存功能，再加上 Redis 做动态数据的缓存，再加上 CDN，所以我还没有用过专门的缓存服务。
但是这些服务真是大名鼎鼎，即便不用，我也可以先列出来做个简单的了解。

#12 单点登录研究：OpenLDAP + CAS（1） [编辑中]

这套方案名气比较大，了解看看。

#11 单点登录研究（1）：基础 [编辑中]

:) 本文正在编辑中，暂时不提供浏览...

#10 ECharts 简单使用示例

一般都是参考着 官网示例 写，修修改改就好了，挺方便。

#9 Werkzeug WSGI 框架

• PyPI：https://pypi.org/project/Werkzeug/
• 文档：https://werkzeug.palletsprojects.com/en/latest/
• 代码：https://github.com/pallets/werkzeug/

示例

from werkzeug.wrappers import Request, Response
from werkzeug.routing import Map, Rule

class Application:
    def __init__(self):
        self.url_map = Map([
            Rule('/', endpoint='hello')
        ])

    def hello(self, request):
        text = 'Hello, World!'
        response = Response(text, content_type='text/plain')
        return response

    @Request.application
    def __call__(self, request):
        adapter = self.url_map.bind_to_environ(request.environ)
        endpoint, values = adapter.match()

        handler = getattr(self, endpoint)
        return handler(request, **values)

if __name__ == '__main__':
    from werkzeug.serving import run_simple
    app = Application()
    run_simple('localhost', 5000, app)

Werkzeug 与协程（async/await）

Werkzeug 1.x 开始已经提供了对协程的支持。
PS：WSGI 规范是基于同步的设计，没有较好的适配异步编程，所以后面一些更年轻的框架选择了 ASGI（Async Server Gateway Interface）。
PS：2014/03/01, WSGI
PS：2021/11/06, 体验 ASGI

import asyncio
from werkzeug.wrappers import Request, Response
from werkzeug.routing import Map, Rule

class Application:
    def __init__(self):
        self.url_map = Map([
            Rule('/', endpoint='hello')
        ])

    async def hello(self, request):
        text = 'Hello, World!'
        response = Response(text, content_type='text/plain')
        return response

    @Request.application
    async def __call__(self, request):
        adapter = self.url_map.bind_to_environ(request.environ)
        endpoint, values = adapter.match()

        handler = getattr(self, endpoint)
        response = await handler(request, **values)
        return response

if __name__ == '__main__':
    from werkzeug.serving import run_simple
    app = Application()
    run_simple('localhost', 5000, app)

附：版本历史

#8 The Pallets Projects

这个组织下的每个项目单拿出来都是响当当的存在：

• Click — Beautiful, composable command line interface creation kit.
• Flask — a flexible and popular web development framework
• ItsDangerous — Safely pass trusted data to untrusted environments and back.
• Jinja — a full featured template engine for Python
• MarkupSafe — Safely add untrusted strings to HTML/XML markup.
• Quart — an async reimplementation of flask
• Werkzeug — The comprehensive WSGI web application library.

• Click 命令行工具
• Flask 轻量级 Web 框架
• ItsDangerous
• Jinja 知名模板库
• MackupSafe
• Quart
• Werkzeug Web 工具箱（WSGI），Flask 的底层