如何在Python Flask中实现敏感词过滤_构建自定义中间件-Python教程-PHP中文网

Flask中不能直接在路由里做敏感词过滤，因重复代码多、易漏检、难统一响应格式，且无法覆盖所有入口；应使用WSGI中间件或before_request钩子在请求进入视图前拦截，中间件更底层可靠，职责仅为阻断而非清洗。

如何在python flask中实现敏感词过滤_构建自定义中间件

Flask 中为什么不能直接在路由里做敏感词过滤

因为重复代码多、易漏检、难统一响应格式。比如每个 @app.route 都要写一遍 check_sensitive_words(text)，一旦新增接口或修改策略就得逐个改，还容易忘记加。更麻烦的是，前端可能通过不同入口（表单、API、WebSocket 代理）提交数据，光靠路由层覆盖不全。

真正该拦截的位置是请求刚进来、还没进视图函数之前——也就是 WSGI 层或 Flask 的请求钩子。中间件（Middleware）在这里比装饰器更底层、更可靠。

用 Werkzeug Middleware 实现轻量级敏感词过滤

Flask 基于 Werkzeug，可以直接包装 app.wsgi_app。这种方式不依赖 Flask 扩展，兼容所有 Flask 版本（包括 2.x / 3.x），且对请求体（request.get_data()）、JSON、form-data 都能统一处理。

只在 Content-Type 为 application/json、application/x-www-form-urlencoded 或 multipart/form-data 时触发过滤
对 JSON 请求：递归遍历字典/列表中的字符串值，替换或标记
对 form-data：检查 request.form 和 request.files 的文件名（常被用来传恶意 payload）
命中敏感词后，返回 400 Bad Request 并附带错误字段，不进业务逻辑

示例中间件核心逻辑：

class SensitiveWordMiddleware:
    def __init__(self, app, words=None):
        self.app = app
        self.words = words or ["admin", "passwd", "sqlmap"]
<pre class="brush:php;toolbar:false;">def __call__(self, environ, start_response):
    # 只处理 POST/PUT/PATCH 请求
    if environ.get("REQUEST_METHOD") not in ("POST", "PUT", "PATCH"):
        return self.app(environ, start_response)

    # 尝试解析 body（注意：不能多次调用 get_data()）
    try:
        data = environ.get("wsgi.input").read(int(environ.get("CONTENT_LENGTH", 0)))
        environ["wsgi.input"] = io.BytesIO(data)
        # 后续 request.get_data() 仍可正常工作
    except Exception:
        return self.app(environ, start_response)

    # 检查 data 是否含敏感词（按需实现检测逻辑）
    if self._contains_sensitive(data):
        start_response("400 Bad Request", [("Content-Type", "application/json")])
        return [b'{"error": "sensitive word detected"}']

    return self.app(environ, start_response)

用 before_request + request.get_json() 做快速兜底方案

如果项目已上线、不敢动 WSGI 层，可用 Flask 自带的 @app.before_request 钩子，但要注意它无法拦截 request.files 的原始二进制内容，也不能阻止文件上传完成——只适合文本类校验。

Flask Wrap

火焰围攻授权: q15040409-creator.功能概述火焰围攻授权: q15040409-creator.是一项面向实际任务的技能，主要用于Description.；Flask Web. - Python.；核心要点HTTP?；.Version.1.0.tags. wrap.github.automation.。它将相关步骤、工具调用和结果整理方式集中到统一流程中，帮助使用者更快完成目标并减少重复操作。使用与执行使用时应结合输入条件选择合适的执行方式，核对必要参数、依赖环境与输出内容，并按原始要

下载

必须在 request.get_json() 或 request.form.to_dict() 之后检查，否则会触发 ValueError: request.get_json() not supported
不要在钩子里调用 request.get_data()，会导致后续视图函数读不到 body
敏感词库建议预编译成 re.compile('|'.join(map(re.escape, words)))，避免每次匹配都重编译
对中文场景，记得加 re.UNICODE 标志，否则 \w 不匹配汉字