Python Web服务器Tornado使用小结

首先想说的是它的安全性，这方面确实能让我感受到它的良苦用心。这主要可以分为两点：

一、防范跨站伪造请求（Cross-site request forgery，简称 CSRF 或 XSRF）

CSRF 的意思简单来说就是，攻击者伪造真实用户来发送请求。

举例来说，假设某个银行网站有这样的 URL：
http://bank.example.com/withdraw?amount=1000000&for=Eve
当这个银行网站的用户访问该 URL 时，就会给 Eve 这名用户一百万元。用户当然不会轻易地点击这个 URL，但是攻击者可以在其他网站上嵌入一张伪造的图片，将图片地址设为该 URL：
<img src="http://bank.example.com/withdraw?amount=1000000&for=Eve">
那么当用户访问那个恶意网站时，浏览器就会对该 URL 发起一个 GET 请求，于是在用户毫不知情的情况下，一百万就被转走了。

要防范上述攻击很简单，不允许通过 GET 请求来执行更改操作（例如转账）即可。不过其他类型的请求照样也不安全，假如攻击者构造这样一个表单：
代码如下:<form action="http://bank.example.com/withdraw" method="post">
    <p>转发抽奖送 iPad 啊！</p>
    <input type="hidden" name="amount" value="1000000">
    <input type="hidden" name="for" value="Eve">
    <input type="submit" value="转发">
</form>

不明真相的用户点了下“转发”按钮，结果钱就被转走了…

要杜绝这种情况，就需要在非 GET 请求时添加一个攻击者无法伪造的字段，处理请求时验证这个字段是否修改过。
Tornado 的处理方法很简单，在请求中增加了一个随机生成的 _xsrf 字段，并且 cookie 中也增加这个字段，在接收请求时，比较这 2 个字段的值。
由于非本站的网页是不能获取或修改 cookie 的，这就保证了 _xsrf 无法被第三方网站伪造（HTTP 嗅探例外）。
当然，用户自己是可以随意获取和修改 cookie 的，不过这已经不属于 CSRF 的范畴了：用户自己伪造自己所做的事情，当然由他自己来承担。

要使用该功能的话，需要在生成 tornado.web.Application 对象时，加上 xsrf_cookies=True 参数，这会给用户生成一个名为 _xsrf 的 cookie 字段。
此外还需要你在非 GET 请求的表单里加上 xsrf_form_html()，如果不用 Tornado 的模板的话，在 tornado.web.RequestHandler 内部可以用 self.xsrf_form_html() 来生成。

对于 AJAX 请求来说，基本上是不需要担心跨站的，所以 Tornado 1.1.1 以前的版本并不对带有 X-Requested-With: XMLHTTPRequest 的请求做验证。
后来 Google 的工程师指出，恶意的浏览器插件可以伪造跨域 AJAX 请求，所以也应该进行验证。对此我不置可否，因为浏览器插件的权限可以非常大，伪造 cookie 或是直接提交表单都行。