如何防止Python Flask应用遭受ReDoS攻击_优化正则表达式-Python教程-PHP中文网

flask本身不拦截正则匹配，redos风险取决于所用re模式及上下文；高危模式包括嵌套量词如^(a+)+$、易回溯邮箱正则、.*后接断言等；re.compile()不支持timeout参数，需改用regex库或signal.alarm()等方案；安全写法应避免回溯、拆分校验、限制输入长度，并警惕第三方扩展引入的隐蔽redos入口。

如何防止python flask应用遭受redos攻击_优化正则表达式

Flask本身不拦截正则匹配，ReDoS风险完全取决于你写的 re 模式和它运行的上下文——只要用 re.search()、re.match() 或 re.sub() 处理不可信输入，就可能被拖垮 CPU。

哪些正则模式在 Flask 路由或表单验证里最危险

常见于 URL 路由转换器、request.args 校验、用户注册时的邮箱/用户名正则、WAF 风格的请求头过滤逻辑。典型高危模式包括：

^(a+)+$、^([a-z]+)*$、^([^"]*")*$ —— 嵌套量词 + 重叠可选范围，输入稍长（如 20+ 个相同字符后加一个不匹配字符）就会触发指数级回溯
^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$ —— 看似标准的邮箱正则，但中间的 [a-zA-Z0-9.-]+ 和 \. 组合在恶意构造下（如 a@aaaaaaaaaaaaaaaaaaaaa!）极易灾难性回溯
用 .* 或 .+ 匹配任意内容后再跟断言，比如 ^.*(?=.*[A-Z])(?=.*\d).*$，尤其当输入超长且不满足断言时，引擎反复尝试所有子串位置

re.compile() 不能设 timeout，别被文档误导

Python 标准库 re 模块 **根本不支持 timeout 参数**——所有网上带 timeout=1 的示例都是错的，运行会直接抛 TypeError: compile() got an unexpected keyword argument 'timeout'。

真实可用的方案只有两个：

361SCAN security check your skill python scripts

扫描并分析已安装技能，用于查看指定技能目录的名称、描述和详情，或列出所有已安装的技能。

下载

改用 regex 第三方库（非 re），它原生支持 timeout：

import regex
pattern = regex.compile(r'\d+', flags=regex.V0)
try:
    match = pattern.search(text, timeout=0.5)
except regex.Timeout:
    return None

用 signal.alarm() 在主线程设硬超时（仅限 Unix/Linux/macOS）；Windows 下必须用多进程 + concurrent.futures.ProcessPoolExecutor + timeout，但开销大，不适合高频请求

不用第三方库时怎么安全写正则

核心是让模式「无法回溯」或「回溯路径极少」。这不是微调，而是重构思路：

把 (a+)+ 改成 a+ —— 多余嵌套毫无语义价值，纯属陷阱
把 [^"]*" 改成 [^"]*?"（非贪婪），再配合前置锚点，如 ^([^"]*?)"；但更稳的是用字符串方法替代：text.split('"')[0] 或 text.find('"')
拆分复杂校验：邮箱验证不要一个正则包打天下，先用 @ 分割，再分别检查 local-part 和 domain 长度、字符集、是否含连续点等，每步都可控
对输入长度做硬限制：在进入正则前加 if len(text) > 256: raise ValueError("input too long") —— ReDoS 依赖长输入触发，砍掉源头最有效