要在FastApi中保護(hù)Websockets，請遵循以下關(guān)鍵實踐：1。使用Pydantic模型驗證和消毒輸入，并避免直接執(zhí)行用戶輸入。 2。使用有效TLS證書的HTTPS和WSS和安全反向代理配置。 3。限制連接壽命和消息大小，以防止資源耗盡，并明確關(guān)閉未使用的連接。 4。在Websocket握手使用令牌或cookie之前對用戶進(jìn)行身份驗證并授權(quán)用戶，并在會議期間重新檢查權(quán)限。這些步驟可確保安全的實時通信，而不會使您的設(shè)置過度復(fù)雜化。
WebSocket是實時通信的強(qiáng)大工具，但是安全性并不是事后的想法。如果您使用FastApi來構(gòu)建WebSocket端點，則應(yīng)遵循一些關(guān)鍵實踐，以確保事情安全而不會過度復(fù)雜設(shè)置。
驗證和消毒輸入
就像使用常規(guī)的HTTP請求一樣，在Websocket上輸入的任何數(shù)據(jù)都應(yīng)被視為不信任。用戶可以發(fā)送各種有效載荷，如果您不小心，最終可能會執(zhí)行危險的事情。
- 始終驗證傳入消息的結(jié)構(gòu)和內(nèi)容
- 使用Pydantic模型來強(qiáng)制預(yù)期格式
- 避免直接評估或執(zhí)行用戶輸入
- 逃脫或消毒將在瀏覽器中渲染的任何數(shù)據(jù)
例如，如果您期望帶有用戶名和消息的JSON對象，請確保存在這些字段，并且在對其進(jìn)行任何操作之前是正確的類型。 FastApi不會像HTTP路由一樣在Websocket路線上自動為您執(zhí)行此操作，因此您必須手動處理它。
使用HTTPS和WSS
普通的Websocket連接（ ws:// ）就像HTTP一樣 - 它們沒有加密。這意味著您的客戶端和服務(wù)器之間的任何人都可以看到正在發(fā)送的內(nèi)容。對于生產(chǎn)應(yīng)用程序，您始終需要使用安全的Websocket（ wss:// ），即加密版本，就像HTTPS一樣。
- 確保您的反向代理（例如nginx或traefik）配置為安全處理WebSocket
- 使用有效的TLS證書 - 讓我們加密是一個可靠的免費選項
- 不要在沒有適當(dāng)保護(hù)的情況下將HTTP和WebSocket交通混合
這不是FastApi直接處理的事情 - 更多的是您如何部署應(yīng)用程序。但這對于任何現(xiàn)實世界的部署都是必備的。
限制連接壽命和消息大小
Websocket長期存在，非常適合性能，但如果不管理，可能會成為風(fēng)險。惡意客戶端可以嘗試將連接保持永久打開，或者發(fā)送大量消息以壓倒您的服務(wù)器。
- 設(shè)定合理的超時時間
- 限制服務(wù)器將接受的最大消息大小
- 不再需要時明確關(guān)閉連接
FastAPI沒有開箱即用的這些設(shè)置，但是當(dāng)您創(chuàng)建WebSocket路由時，您可以控制它們：
來自FastApi Import fastapi，websocket
app = fastapi（）
@app.websocket（“/ws”）
async def websocket_endpoint（websocket：websocket）：
等待websocket.accept（）
嘗試：
而真：
data =等待websocket.receive_text（）
＃過程數(shù)據(jù)
除例外為E：
等待websocket.close（）您也可以使用中間件或依賴項注入在需要時添加限制速率或連接跟蹤。
仔細(xì)認(rèn)證并授權(quán)
與HTTP不同，每個請求都可以單獨進(jìn)行身份驗證，Websocket連接持續(xù)存在。這意味著您需要在連接開始時處理身份驗證，并可能在會議期間重新檢查權(quán)限。
- 不要在不先驗證用戶的情況下接受Websocket連接
- 在WebSocket握手之前，請使用令牌或cookie進(jìn)行身份驗證
- 如果您的應(yīng)用程序使用會話，請確保在接受連接之前有效
一種常見的模式是連接時將訪問令牌作為查詢參數(shù)傳遞：
const ws = new websocket（“ wss：//your-api.com/ws？token = abc123”）;
然后，在FastAPI中，您可以在接受連接之前提取該令牌并進(jìn)行驗證。
最后筆記
在FastAPI中確保Websocket不是火箭科學(xué)，但確實需要注意一些關(guān)鍵領(lǐng)域：輸入驗證，運輸加密，資源限制和身份驗證。這些都不難以實施，但是跳過任何一個都可以使您的應(yīng)用程序暴露出來。
如果您要在生產(chǎn)環(huán)境中部署，請不要忘記使用諸如wss://echo.websocket.org之類的工具測試您的設(shè)置，或使用Postman或websocat模擬不同類型的客戶端。
就是這樣 - 直接但很重要。
以上是使用Python Fastapi構(gòu)建安全的Websocket的詳細(xì)內(nèi)容。更多信息請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費脫衣服圖片
Undresser.AI Undress
人工智能驅(qū)動的應(yīng)用程序，用于創(chuàng)建逼真的裸體照片
AI Clothes Remover
用于從照片中去除衣服的在線人工智能工具。
Clothoff.io
AI脫衣機(jī)
Video Face Swap
使用我們完全免費的人工智能換臉工具輕松在任何視頻中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費的代碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
功能強(qiáng)大的PHP集成開發(fā)環(huán)境
Dreamweaver CS6
視覺化網(wǎng)頁開發(fā)工具
SublimeText3 Mac版
神級代碼編輯軟件(SublimeText3)
Python類中的多態(tài)性
Jul 05, 2025 am 02:58 AM
多態(tài)是Python面向?qū)ο缶幊讨械暮诵母拍?，指“一種接口，多種實現(xiàn)”，允許統(tǒng)一處理不同類型的對象。1.多態(tài)通過方法重寫實現(xiàn)，子類可重新定義父類方法，如Animal類的speak()方法在Dog和Cat子類中有不同實現(xiàn)。2.多態(tài)的實際用途包括簡化代碼結(jié)構(gòu)、增強(qiáng)可擴(kuò)展性，例如圖形繪制程序中統(tǒng)一調(diào)用draw()方法，或游戲開發(fā)中處理不同角色的共同行為。3.Python實現(xiàn)多態(tài)需滿足：父類定義方法，子類重寫該方法，但不要求繼承同一父類，只要對象實現(xiàn)相同方法即可，這稱為“鴨子類型”。4.注意事項包括保持方
Python函數(shù)參數(shù)和參數(shù)
Jul 04, 2025 am 03:26 AM
參數(shù)（parameters）是定義函數(shù)時的占位符，而傳參（arguments）是調(diào)用時傳入的具體值。1.位置參數(shù)需按順序傳遞，順序錯誤會導(dǎo)致結(jié)果錯誤；2.關(guān)鍵字參數(shù)通過參數(shù)名指定，可改變順序且提高可讀性；3.默認(rèn)參數(shù)值在定義時賦值，避免重復(fù)代碼，但應(yīng)避免使用可變對象作為默認(rèn)值；4.args和*kwargs可處理不定數(shù)量的參數(shù)，適用于通用接口或裝飾器，但應(yīng)謹(jǐn)慎使用以保持可讀性。
解釋Python發(fā)電機(jī)和迭代器。
Jul 05, 2025 am 02:55 AM
迭代器是實現(xiàn)__iter__()和__next__()方法的對象，生成器是簡化版的迭代器，通過yield關(guān)鍵字自動實現(xiàn)這些方法。1.迭代器每次調(diào)用next()返回一個元素，無更多元素時拋出StopIteration異常。2.生成器通過函數(shù)定義，使用yield按需生成數(shù)據(jù)，節(jié)省內(nèi)存且支持無限序列。3.處理已有集合時用迭代器，動態(tài)生成大數(shù)據(jù)或需惰性求值時用生成器，如讀取大文件時逐行加載。注意：列表等可迭代對象不是迭代器，迭代器到盡頭后需重新創(chuàng)建，生成器只能遍歷一次。
python`@classmethod'裝飾師解釋了
Jul 04, 2025 am 03:26 AM
類方法是Python中通過@classmethod裝飾器定義的方法，其第一個參數(shù)為類本身(cls)，用于訪問或修改類狀態(tài)。它可通過類或?qū)嵗{(diào)用，影響的是整個類而非特定實例；例如在Person類中，show_count()方法統(tǒng)計創(chuàng)建的對象數(shù)量；定義類方法時需使用@classmethod裝飾器并將首參命名為cls，如change_var(new_value)方法可修改類變量；類方法與實例方法(self參數(shù))、靜態(tài)方法(無自動參數(shù))不同，適用于工廠方法、替代構(gòu)造函數(shù)及管理類變量等場景；常見用途包括從
如何處理Python中的API身份驗證
Jul 13, 2025 am 02:22 AM
處理API認(rèn)證的關(guān)鍵在于理解并正確使用認(rèn)證方式。1.APIKey是最簡單的認(rèn)證方式，通常放在請求頭或URL參數(shù)中；2.BasicAuth使用用戶名和密碼進(jìn)行Base64編碼傳輸，適合內(nèi)部系統(tǒng)；3.OAuth2需先通過client_id和client_secret獲取Token，再在請求頭中帶上BearerToken；4.為應(yīng)對Token過期，可封裝Token管理類自動刷新Token；總之，根據(jù)文檔選擇合適方式，并安全存儲密鑰信息是關(guān)鍵。
什么是python魔法方法或dunder方法？
Jul 04, 2025 am 03:20 AM
Python的magicmethods（或稱dunder方法）是用于定義對象行為的特殊方法，它們以雙下劃線開頭和結(jié)尾。1.它們使對象能夠響應(yīng)內(nèi)置操作，如加法、比較、字符串表示等；2.常見用例包括對象初始化與表示（__init__、__repr__、__str__）、算術(shù)運算（__add__、__sub__、__mul__）及比較運算（__eq__、__lt__）；3.使用時應(yīng)確保其行為符合預(yù)期，例如__repr__應(yīng)返回可重構(gòu)對象的表達(dá)式，算術(shù)方法應(yīng)返回新實例；4.應(yīng)避免過度使用或以令人困惑的方
描述Python中的Python垃圾收集。
Jul 03, 2025 am 02:07 AM
Python的垃圾回收機(jī)制通過引用計數(shù)和周期性垃圾收集來自動管理內(nèi)存。其核心方法是引用計數(shù)，當(dāng)對象的引用數(shù)為零時立即釋放內(nèi)存；但無法處理循環(huán)引用，因此引入了垃圾收集模塊（gc）來檢測并清理循環(huán)。垃圾回收通常在程序運行中引用計數(shù)減少、分配與釋放差值超過閾值或手動調(diào)用gc.collect()時觸發(fā)。用戶可通過gc.disable()關(guān)閉自動回收、gc.collect()手動執(zhí)行、gc.set_threshold()調(diào)整閾值以實現(xiàn)控制。并非所有對象都參與循環(huán)回收，如不包含引用的對象由引用計數(shù)處理，內(nèi)置
Python內(nèi)存管理如何工作？
Jul 04, 2025 am 03:26 AM
Pythonmanagesmemoryautomaticallyusingreferencecountingandagarbagecollector.Referencecountingtrackshowmanyvariablesrefertoanobject,andwhenthecountreacheszero,thememoryisfreed.However,itcannothandlecircularreferences,wheretwoobjectsrefertoeachotherbuta
