@app.route
(
'/api/user/'
,
methods
=
[
'GET'
]
)
def
get_user_data
(
user_id
)
:
user
=
User
.
query
.
get
(
user_id
)
return
jsonify
(
user
.
to_dict
(
)
)

user_id

from
flask_jwt_extended
import
jwt_required
,
get_jwt_identity
@app.route
(
'/api/user/'
,
methods
=
[
'GET'
]
)
@jwt_required
(
)
def
get_user_data
(
user_id
)
:
current_user_id
=
get_jwt_identity
(
)
# Получаем ID текущего пользователя из JWT токена
# Проверяем, что запрашиваемый ID совпадает с ID текущего пользователя
# или что текущий пользователь имеет права администратора (пример такой проверки опущен для краткости)
if
user_id
!=
current_user_id
:
return
jsonify
(
{
"error"
:
"Unauthorized"
}
)
,
403
user
=
User
.
query
.
get
(
user_id
)
if
not
user
:
return
jsonify
(
{
"error"
:
"User not found"
}
)
,
404
return
jsonify
(
user
.
to_dict
(
)
)

# КАТЕГОРИЧЕСКИ НЕПРАВИЛЬНО!
query
=
f"SELECT * FROM users WHERE username = '{username}' AND password = '{password}'"
# cursor.execute(query)

# Используем ORM (SQLAlchemy) - предпочтительно
user
=
User
.
query
.
filter_by
(
username
=
username
)
.
first
(
)
# Или параметризованный запрос (пример для psycopg2)
# cursor.execute("SELECT * FROM users WHERE username = %s", (username,))
# user_data = cursor.fetchone()

check_password_hash

username_input

# Уязвимо, если 'username_input' может содержать операторы MongoDB, например: {"$ne": "admin"}
# username_input = get_user_input() # مثلاً, {"$gt": ""}
# results = db.users.find({"username": username_input})

username_input

{"$gt": ""}

# from bson import ObjectId # Может понадобиться для работы с ID
from
werkzeug
.
security
import
check_password_hash
# Для безопасной проверки пароля
# 1. Валидация и санитизация ввода:
# Убедимся, что username - это строка и не содержит опасных символов/структур.
# Для FastAPI это часто делается через Pydantic модели.
# Для Flask можно использовать marshmallow или специализированные библиотеки валидации.
# username_from_request = प्रतिभा  #  Это должно быть получено из запроса и провалидировано
# if not isinstance(username_from_request, str) or not username_from_request.isalnum(): # Упрощенный пример
#     return jsonify({"error": "Invalid username format"}), 400
# user = db.users.find_one({"username": username_from_request})
# 2. Безопасная проверка пароля (относится к API2:2023 Broken User Authentication)
# if user and check_password_hash(user.get("password_hash"), password_from_request): # Пароль в БД должен быть хеширован
#     # Авторизация успешна
#     pass
# else:
#     # Ошибка аутентификации
#     pass

from
flask_cors
import
CORS
CORS
(
app
)
# Разрешает запросы с ЛЮБЫХ доменов! Это опасно для большинства API.

from
flask_cors
import
CORS
CORS
(
app
,
resources
=
{
r"/api/v1/*"
:
{
# Применяем только к определенному пути API
"origins"
:
[
"https://yourdomain.com"
,
"https://trusted-partner.com"
]
,
# Список доверенных источников
"methods"
:
[
"GET"
,
"POST"
,
"PUT"
]
,
# Разрешенные методы
"allow_headers"
:
[
"Content-Type"
,
"Authorization"
]
,
# Разрешенные заголовки
"expose_headers"
:
[
"X-Custom-Header"
]
,
# Заголовки, доступные клиенту
"supports_credentials"
:
True
# Если нужны куки или заголовки авторизации
}
}
)

from
flask
import
Flask
,
jsonify
,
request
from
flask_limiter
import
Limiter
from
flask_limiter
.
util
import
get_remote_address
app
=
Flask
(
__name__
)
limiter
=
Limiter
(
app
,
key_func
=
get_remote_address
,
# Ограничение по IP-адресу клиента
default_limits
=
[
"200 per day"
,
"50 per hour"
]
# Общие лимиты по умолчанию
)
@app.route
(
'/api/login'
,
methods
=
[
'POST'
]
)
@limiter.limit
(
"5 per minute"
)
# Не более 5 попыток входа в минуту для этого эндпоинта
def
login
(
)
:
# Логика авторизации
# ...
return
jsonify
(
{
"message"
:
"Login attempt processed"
}
)
@app.route
(
'/api/resource'
)
@limiter.limit
(
"100 per hour"
,
override_defaults
=
True
)
# Переопределение лимита для этого ресурса
def
get_resource
(
)
:
# ...
return
jsonify
(
{
"data"
:
"some resource"
}
)