talisman 0.1.0

每个视图选项

有时您想为特定视图更改策略。可以在每个视图的基础上更改< span class="docutils literal">frame_options、< span class="docutils literal">frame_options_allow_from和< span class="docutils literal">content_security_policy选项。

from flask import Flask
from talisman import Talisman, ALLOW_FROM

app = Flask(__name__)
talisman = Talisman(app)

@app.route('/normal')
def normal():
    return 'Normal'

@app.route('/embeddable')
@talisman(frame_options=ALLOW_FROM, frame_options_allow_from='*')
def embeddable():
    return 'Embeddable'

示例 1

这是默认策略。网站管理员希望所有内容都来自网站的自身域（这排除了子域。）

csp = {
    'default-src': '\'self\''
}

示例 2

网站管理员希望允许来自受信任域及其所有子域的内容（不一定要是CSP设置的域。）

csp = {
    'default-src': [
        '\'self\'',
        '*.trusted.com'
    ]
}

示例 3

网站管理员希望允许Web应用程序的用户在自己的内容中包含来自任何来源的图像，但将音频或视频媒体限制为受信任的提供商，并将所有脚本仅限制在托管受信任代码的特定服务器上。

csp = {
    'default-src': '\'self\'',
    'image-src': '*',
    'media-src': [
        'media1.com',
        'media2.com',
    ],
    'script-src': 'userscripts.example.com'
}

在此，默认情况下，仅允许来自文档来源的内容，但有以下例外

• 图像可以从任何地方加载（注意通配符 *）。

• 仅允许来自 media1.com 和 media2.com 的媒体（不包括这些网站的子域。）

• 仅允许来自 userscripts.example.com 的可执行脚本。

示例 4

一个在线银行网站的网站管理员希望确保所有内容都通过SSL加载，以防止攻击者窃听请求。

csp = {
    'default-src': 'https://onlinebanking.jumbobank.com'
}

服务器仅允许通过 HTTPS 通过单一来源 onlinebanking.jumbobank.com 加载文档。

示例 5

一个Web邮件网站的网站管理员希望允许在电子邮件中使用HTML，以及从任何地方加载的图像，但不允许JavaScript或其他可能危险的内容。

csp = {
    'default-src': [
        '\'self\'',
        '*.mailsite.com',
    ],
    'img-src': '*'
}

请注意，此示例没有指定 script-src；使用此示例CSP，此网站使用 default-src 指令指定的设置，这意味着脚本只能从原始服务器加载。