绑定到所有接口有什么问题，还有哪些替代方案？

如何解决绑定到所有接口有什么问题，还有哪些替代方案？

我最近看到强盗抱怨B104：

绑定到所有网络接口可能会打开服务，以阻止意外接口上的流量，这些接口可能没有正确记录或保护。此插件测试将查找字符串模式“ 0.0.0.0”，该字符串模式可能指示与所有网络接口的硬编码绑定。

>> Issue: Possible binding to all interfaces.
   Severity: Medium   Confidence: Medium
   Location: ./examples/binding.py:4
3   s = socket.socket(socket.AF_INET,socket.soCK_STREAM)
4   s.bind(('0.0.0.0',31137))
5   s.bind(('192.168.0.1',8080))

“开放服务以在意外接口上进行通信”是什么意思？

对于带有app.run(host="0.0.0.0")的Flask应用程序，我已经看到了这一点。应该写些什么？

（作为旁注：这不在生产中使用。主要是为了在开发过程中进行简单测试。但是我不确定Gunicorn是否可能在配置相似的情况下出现相同的问题）

解决方法

绑定到“ 0.0.0.0”时，您可以接受来自任何地方的传入连接。当您的代码经过测试并且项目处于“安全”状态（例如，针对SQL注入或其他此类讨厌的攻击）时，您将在生产中执行此操作。

无论何时您不准备生产或不打算从任何地方接受传入的连接，都应该有一个安全默认值。通常这是'127.0.0.1'或'localhost'，因此仅接受来自本地计算机的传入连接。这不能确保您的代码不受SQL注入的影响，但可以防止其他人将您的代码作为目标并针对您的项目执行SQL注入。

请注意，该测试通常不会抱怨绑定到0.0.0.0 ，而是会抱怨意外绑定到0.0.0.0（因此可能会抱怨整个绑定。世界）。因此，应避免使用任何0.0.0.0的硬编码引用（以创建上述安全默认值）。

对于替代方案，您可以在开发时使用127.0.0.1或localhost，也可以使用本地网络接口来启用来自本地网络上其他计算机的访问。使用网络接口，您可以在计算机上构建和托管Web应用程序，并在手机连接到同一WiFi的情况下测试其结果。