电商API安全防护：JWT令牌与XSS防御实战

在电商 API 的安全防护中，JWT（JSON Web Token）令牌用于身份验证和授权，而 XSS（跨站脚本攻击）防御则是防止恶意脚本注入，保护用户数据和系统安全。以下是这两方面的实战介绍。

JWT 令牌实战

1. 生成 JWT 令牌

首先，你需要安装 PyJWT 库（假设使用 Python）：

pip install PyJWT

以下是生成 JWT 令牌的示例代码：

import jwt import datetime # 密钥，用于签名 JWT SECRET_KEY = "your_secret_key" def generate_token(user_id): # 设置令牌的过期时间 expiration = datetime.datetime.utcnow() + datetime.timedelta(hours=1) # 构建负载信息 payload = { "user_id": user_id, "exp": expiration } # 生成 JWT 令牌 token = jwt.encode(payload, SECRET_KEY, algorithm="HS256") return token # 示例使用 user_id = 123 token = generate_token(user_id) print(token) 2. 验证 JWT 令牌

在 API 端，需要对传入的 JWT 令牌进行验证：

def verify_token(token): try: # 验证并解码 JWT 令牌 decoded = jwt.decode(token, SECRET_KEY, algorithms=["HS256"]) return decoded except jwt.ExpiredSignatureError: print("Token has expired") return None except jwt.InvalidTokenError: print("Invalid token") return None # 示例使用 decoded = verify_token(token) if decoded: print("Token is valid. User ID:", decoded["user_id"]) 3. 在 API 中集成 JWT 验证

在 Flask 框架中集成 JWT 验证的示例：

from flask import Flask, request, jsonify import jwt app = Flask(__name__) SECRET_KEY = "your_secret_key" def verify_token(token): try: decoded = jwt.decode(token, SECRET_KEY, algorithms=["HS256"]) return decoded except jwt.ExpiredSignatureError: return None except jwt.InvalidTokenError: return None @app.route('/protected', methods=['GET']) def protected_route(): token = request.headers.get('Authorization') if not token: return jsonify({"message": "Token is missing"}), 401 token = token.replace('Bearer ', '') decoded = verify_token(token) if not decoded: return jsonify({"message": "Invalid token"}), 401 return jsonify({"message": "This is a protected route", "user_id": decoded["user_id"]}) if __name__ == '__main__': app.run(debug=True) XSS 防御实战

1. 输入验证和过滤

在接收用户输入时，对输入进行验证和过滤，只允许合法的字符和格式。例如，在 Python 的 Flask 框架中：

from flask import Flask, request, jsonify import re app = Flask(__name__) def validate_input(input_str): # 只允许字母、数字和常见标点符号 pattern = re pile(r'^[a-zA-Z0-9.,!?\s]+$') return bool(pattern.match(input_str)) @app.route('/search', methods=['GET']) def search(): query = request.args.get('query') if not validate_input(query): return jsonify({"message": "Invalid input"}), 400 # 处理搜索逻辑 return jsonify({"message": "Search results", "query": query}) if __name__ == '__main__': app.run(debug=True) 2. 输出编码

在将用户输入的数据返回给前端时，对数据进行编码，将特殊字符转换为 HTML 实体。在 Python 中，可以使用 html.escape 函数：

import html user_input = '<script>alert("XSS")</script>' encoded_input = html.escape(user_input) print(encoded_input) # 输出: &lt;script&gt;alert(&quot;XSS&quot;)&lt;/script&gt; 3. 设置 CSP（内容安全策略）

CSP 可以限制页面可以加载的资源来源，防止恶意脚本的注入。在 Flask 中，可以通过设置响应头来实现：

from flask import Flask app = Flask(__name__) @app.after_request def add_csp_header(response): response.headers['Content-Security-Policy'] = "default-src'self'" return response @app.route('/') def index(): return "This is the home page" if __name__ == '__main__': app.run(debug=True)

通过以上 JWT 令牌和 XSS 防御的实战措施，可以有效提高电商 API 的安全性，保护用户数据和系统免受攻击。