Tornado-Minos簡約社區(qū)系統(tǒng)

Minos社區(qū)，一個(gè)基于Tornado/Mongodb/Redis的簡約社區(qū)系統(tǒng)。

特點(diǎn)

• 簡單：去除傳統(tǒng)社區(qū)中多數(shù)不常用到的功能，保留精華。（這里向?http://zone.wooyun.org?學(xué)習(xí)）

• 高效：

  • mongodb：數(shù)據(jù)庫設(shè)計(jì)合理，以空間換取時(shí)間，盡量減少數(shù)據(jù)庫查詢次數(shù)。

  • 異步：tornado+motor全異步庫，增加web高并發(fā)訪問效率

  • redis：拋棄php中以文件形式保存session的做法，以redis內(nèi)存數(shù)據(jù)庫保存session，增加速度。

• 安全：

  • CSP：全站默認(rèn)開啟CSP，以新一代的前端安全策略防御前端安全問題（包括XSS/CSRF/Clickjacking等）。

  • Secure by default原則：使用默認(rèn)的安全機(jī)制，所有業(yè)務(wù)邏輯問題為安全讓步。不符合安全的業(yè)務(wù)都沒有被加入Minos。tornado框架及其安全理念對Minos的安全有突出貢獻(xiàn)。

  • 注入漏洞：tornado不允許嵌套解析，用戶通過GET/POST傳入的參數(shù)只是字符串，不會(huì)成為list或dict，所以正常情況下不會(huì)造成mongodb的注入。

  • 文件上傳：python將不會(huì)去解析用戶上傳的任何文件。另外Minos在用戶上傳時(shí)仍然會(huì)檢查后綴，為防止XSS。

  • XSS漏洞：Tornado框架原則上所有輸出在模板里的變量都會(huì)經(jīng)過“HTML實(shí)體化”，包括單引號，一般情況下不會(huì)存在XSS漏洞。另外，社區(qū)帖子內(nèi)容為富文本，將經(jīng)過富文本過濾器Python-XSS-Filter（?https://github.com/phith0n/python-xss-filter?）過濾并輸出。

  • CSRF漏洞：Tornado框架在開啟xsrf_cookies后，所有POST表單如果沒有Token將不會(huì)被接受。Minos默認(rèn)開啟xsrf_cookies，并且所有增刪改查操作均通過POST進(jìn)行。

  • 密碼存儲(chǔ)：Minos中，用戶密碼使用bcrypt庫計(jì)算哈希后存入數(shù)據(jù)庫，加密方法類似Wordpress，不能被簡單破譯。

• 穩(wěn)定：不允許一個(gè)warning。Minos已在debian上穩(wěn)定運(yùn)行多日。

• 響應(yīng)式：框架AmazeUI是一個(gè)mobile first的前端框架，對于各種屏幕的適應(yīng)性都很好，加上我在手機(jī)屏幕大小的情況下隱藏了很多不必要的功能，所以在手機(jī)端也能愉快地看文章啦~