apache中python应用需在服务器层统一注入安全响应头：先启用mod_headers模块并验证生效，再于内用header always set配置x-content-type-options、x-frame-options及严格csp策略，同时将python脚本移出web根目录并通过proxypass代理请求。
Apache 中 Python 应用（如 Flask、Django 或纯 CGI 脚本）本身不自动设置安全响应头，而脚本注入攻击（尤其是 XSS）常利用缺失或宽松的头部策略绕过防护。要真正防御，不能只靠 Python 框架中间件，必须在 Apache 层统一注入并强化 CSP 与基础安全头，同时确保 Python 脚本不被直接暴露。
启用 mod_headers 并确认生效
这是所有安全头配置的前提——没有它，Header 指令完全无效，且 Apache 不报错，极易被忽略。
- Debian/Ubuntu：sudo a2enmod headers，再 sudo systemctl restart apache2
- RHEL/CentOS/XAMPP：编辑 httpd.conf，取消注释 LoadModule headers_module modules/mod_headers.so，重启服务
- 验证命令：apachectl -M | grep headers，输出 headers_module (shared) 表示成功
全局注入基础防护头（防 MIME 嗅探与点击劫持）
这些头成本低、兼容性好，对所有响应（包括 Python 返回的 HTML、JSON、JS）都起效，是 CSP 的必要补充。
python-docx Skill功能概述python-docx Skill是一项面向实际任务的技能，主要用于本Skill提供使用python-docx生成专业Word文档的标准方法和最佳实践；生成安全服务方案文档；核心要点生成技术架构设计文档；生成任何需要专业排版的Word文档；核心库 : python-docx；使用与执行辅助库 : docx.shared , docx.enum , docx.oxml.ns；标准代码模板；1. 文档初始化；2. 字体设置（必须！它将相关步骤、工具调用和结果整理方式集
- Header always set X-Content-Type-Options "nosniff"：强制浏览器按 Content-Type 解析，防止 JS/CSS 被误判为 HTML 执行
- Header always set X-Frame-Options "DENY" 或 SAMEORIGIN：阻断恶意页面用 iframe 套嵌你的登录页或表单
- 建议写在
块内顶层，确保覆盖所有路径和状态码（含 404/500）
配置严格 CSP 防止内联脚本执行
Python 应用若使用 Jinja2 模板渲染 <script></script> 或内联事件（onclick=），默认策略必须禁用 'unsafe-inline'，否则 CSP 形同虚设。
- 基础策略示例：Header always set Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; object-src 'none'; base-uri 'self';"
- 若前端用 Vue/React 开发服务器（如 localhost:5173），需显式加 connect-src 'self' http://localhost:5173
- 绝对避免在生产环境写 script-src 'unsafe-inline' 'unsafe-eval' —— 这等于主动开放 XSS 入口
隔离 Python 脚本存放路径，杜绝源码泄露
脚本若放在 Web 根目录（如 /var/www/html/app.py），攻击者可直接访问 URL 下载源码，暴露密钥、SQL 逻辑等敏感信息。
- 将 Python 文件移出 Web 可访问路径，例如存至 /opt/myapp/backend/app.py
- 确保 Apache 用户（www-data 或 apache）对该文件有执行权限：sudo chown root:www-data /opt/myapp/backend/app.py，sudo chmod 750 /opt/myapp/backend/app.py
- 用 ProxyPass 代理请求到 Python 后端（如 Gunicorn/Uvicorn），而非通过 mod_cgi 或暴露 .py 文件
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
