在服务器端对用户提交的模板使用python str.format方法安全吗?

不 ,通常使用不安全 str.format 具有用户提供的格式字符串。

我突然想到了这个玩具的例子 str.format 使用精心构建的格式字符串可以很容易地从服务器泄露敏感信息。也可能存在其他攻击向量。

此攻击仅依赖于攻击者知道(或猜测)提供给的参数的类型 str.format .

运行此代码将打印服务器上定义的所有环境变量:

import os

class Foo:
    def foo(self):
        pass

user_format = "{f.foo.__globals__[os].environ}"
print(user_format.format(f=Foo()))

特定于Django,此格式字符串将打印您的整个设置模块,包括您的DB密码、签名密钥和各种其他可利用信息:

user_format = "{f.foo.__globals__[sys].modules[myapp.settings].__dict__}"