Flask 删除响应头的 Server 信息

问题

在使用 Flask 框架开发 Web 应用时，我们会注意到在 HTTP 响应头中存在一个名为 “Server” 的字段。这个字段通常会包含服务器的软件和版本信息，例如 “Server: Werkzeug/0.14.1 Python/3.6.1”。这样的信息可能会被潜在的攻击者利用，从而对系统安全构成威胁。

为了保护服务器的信息不泄露给外部，我们可以在 Flask 应用的配置中删除或修改这个 “Server” 字段。

解决方案

• Flask 提供了一个方便的方式来自定义和配置 HTTP 响应头，我们可以通过覆盖 flask.Response 类的 make_response 方法来实现。但是，这种方法需要在每个视图函数中手动调用 make_response 方法，不够优雅。
• 另一种方法是使用 Flask 的 after_request 装饰器中 response.headers['Server'] = 'Custom Server'，这个也是网上主流的方法，定义一个在每个请求处理完成后运行的函数，从而修改或删除响应头中的 “Server” 字段。但是这个方法并没有效果，因为 Flask 在 after_request 生命周期之后才会添加 “Server” 字段，具体在 http/server.py 中的 BaseHTTPRequestHandler 类的 send_response 方法中添加的。
• 在使用 Flask 的 after_request 装饰器中，通过修改 Werkzeug 的 WSGIRequestHandler 类的 server_version 和 sys_version 属性，可以在每个请求处理之前修改 “Server” 字段。这种方法是比较简单有效的，可以在 Flask 应用中实现修改 “Server” 字段。

示例代码

以下是一个示例代码，展示了如何在 Flask 应用中修改 “Server” 字段：

from flask import Flask, make_response
from werkzeug.serving import WSGIRequestHandler

app = Flask(__name__)

@app.before_request
def set_server_header():
    WSGIRequestHandler.server_version = ''
    WSGIRequestHandler.sys_version = ''

@app.route('/')
def index():
    return 'Hello, World!'

if __name__ == '__main__':
    app.run()

这样，当我们运行上述代码并访问根路径时，HTTP 响应头中的 “Server” 字段将被成功删除，不再泄露服务器的信息。

请注意，以上代码只是一个示例，实际使用时需要根据具体的 Flask 应用进行适当的调整和扩展。