DEV Community
·
在Python中设计安全：一个包含5种DevSecOps工具和实时SSTI漏洞修复的FastAPI应用
内容提要
安全应成为软件开发的核心原则。文章介绍了五种开源安全工具（pip-audit、Bandit、Schemathesis、Trivy、OWASP ZAP），用于发现和修复漏洞。通过示例展示如何修复FastAPI中的服务器端模板注入（SSTI）漏洞，强调安全是思维方式与工作流程的结合。
关键要点
-
安全应成为软件开发的核心原则，而非事后考虑。
-
介绍了五种开源安全工具：pip-audit、Bandit、Schemathesis、Trivy、OWASP ZAP。
-
pip-audit用于检查Python依赖项中的已知漏洞，建议升级受影响的包。
-
Bandit进行静态代码分析，发现常见安全问题，但不检测服务器端模板注入（SSTI）漏洞。
-
Schemathesis基于OpenAPI架构生成测试用例，进行API模糊测试，帮助发现不一致行为。
-
Trivy扫描容器镜像中的漏洞，提供硬化建议，并输出合规性所需的SBOM。
-
OWASP ZAP进行动态应用安全测试，成功发现SSTI漏洞，强调动态分析的重要性。
-
展示了如何修复FastAPI中的SSTI漏洞，强调安全是思维方式与工作流程的结合。
-
结合多种工具提供分层防御，确保软件安全。
延伸解读
安全工具的多样性与互补性
文章提到的五种开源安全工具各有侧重，pip-audit专注于依赖项漏洞，Bandit进行静态代码分析，而OWASP ZAP则强调动态测试的重要性。结合使用这些工具，可以形成更全面的安全防护，降低单一工具可能带来的盲点。
动态分析的重要性
通过OWASP ZAP发现的SSTI漏洞，突显了动态分析在安全检测中的关键作用。静态分析工具如Bandit无法检测到此类漏洞，因此在开发过程中，动态测试应成为常规流程的一部分，以确保应用程序的安全性。
修复示例的实用性
文章中提供的FastAPI SSTI漏洞修复示例，展示了如何通过安全编码实践来防止代码执行漏洞。这种具体的修复方法不仅适用于FastAPI，也为其他框架的开发者提供了参考，强调了安全编码的重要性。
延伸问答
在软件开发中，安全应该如何被看待？
安全应成为软件开发的核心原则，而非事后考虑。
pip-audit工具的主要功能是什么？
pip-audit用于检查Python依赖项中的已知漏洞，并建议升级受影响的包。
Bandit工具的局限性是什么？
Bandit进行静态代码分析，但不检测服务器端模板注入（SSTI）漏洞。
如何使用Schemathesis进行API测试？
Schemathesis基于OpenAPI架构生成测试用例，并进行模糊测试以发现不一致行为。
OWASP ZAP在安全测试中有什么作用？
OWASP ZAP进行动态应用安全测试，能够发现运行时的安全漏洞，如SSTI漏洞。
如何修复FastAPI中的SSTI漏洞？
通过确保输入被正确处理，使用安全的模板渲染方法来修复SSTI漏洞。
