修复uWSGI 未授权访问漏洞

阿里给出的建议 “禁用 uwsgi socket 协议或配置 uwsgi socket 仅能通过本地访问”

当工程在容器中运行的时候，就不能设置仅本地访问了。所以只能以htttp方式启动uwsgi

uwsgi

将原uwsgi的启动命令（socket模式）

#前端运行
uwsgi --wsgi-file $UWSGI_FILE --master -p $PROCESS --threads $THREADS -s :$PORT -b 8192
#后端运行
uwsgi --wsgi-file $UWSGI_FILE --master -p $PROCESS --threads $THREADS -s :$PORT -b 8192 --daemonize /dev/null

修改为

#前端运行
uwsgi --wsgi-file $UWSGI_FILE --master -p $PROCESS --threads $THREADS --http :$PORT -b 8192 --http-timeout 90
#后端运行
uwsgi --wsgi-file $UWSGI_FILE --master -p $PROCESS --threads $THREADS --http :$PORT -b 8192 --http-timeout 90 --daemonize /dev/null

#如果是非容器环境运行，也可以直接绑定127.0.0.1地址，也可以避免此漏洞。采用此种方式的部署，nginx可以不修改，依然采用uwsgi_pass方式
uwsgi --wsgi-file $UWSGI_FILE --master -p $PROCESS --threads $THREADS --socket 127.0.0.1:$PORT -b 8192

nginx配置修改

80端口http模式

#    location / {
#        uwsgi_pass 127.0.0.1:9000;
#        include uwsgi_params;
#       uwsgi_read_timeout 120s;
#       client_max_body_size 15m;
#    }
    location / {
        proxy_pass http://127.0.0.1:9000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        #proxy_read_timeout 120s;
        #client_max_body_size 15m;
    }

443端口https模式

    location / {
        proxy_pass http://127.0.0.1:9000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Ssl on;
    }

django配置

经测试此步骤即使不配置request.build_absolute_uri()也可得到https的协议。因此此步骤暂不推荐，会改变django的安全配置。

然后，在Django的设置文件中，你可以使用SECURE_PROXY_SSL_HEADER设置来告诉Django分析这些信息，并正确生成HTTPS URL。在settings.py文件中添加以下配置：

SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')

这将告诉Django，当接收到来自uwsgi进程的请求时，它应该分析HTTP_X_FORWARDED_PROTO头部，并假定请求使用HTTPS协议。这样，request.build_absolute_uri()方法将返回以https://开头的URL。