Python requests 如何避免被 Gzip 炸弹攻击

Gzip炸弹攻击是一种利用无限循环或者其他方式创建非常大体积的压缩数据，当服务器将其解压时会导致内存耗尽，从而引发拒绝服务（DoS）攻击。在使用Python的requests库进行HTTP请求时，可以通过限制响应体大小的方式来防止此类攻击。虽然requests库本身并不会自动解压Gzip格式的数据，但在处理gzip压缩的响应时，Python标准库会负责解压，因此有必要在应用层面加以防御。

以下是一些建议来防范Gzip炸弹攻击：

1. 限制接收的数据量： 设置stream=True并在读取响应体时限制缓冲区大小，这样可以控制一次性加载的数据量，防止内存溢出。

   Python

   1import requests
   2
   3response = requests.get(url, stream=True)
   4max_size = 1024 * 1024  # 限制最大接受1MB的数据
   5content_length = int(response.headers.get('content-length', 0))
   6
   7if content_length > max_size:
   8    # 忽略过大响应
   9    response.close()
   10    raise Exception(f"Response size exceeds the maximum allowed limit ({max_size} bytes)")
   11
   12decompressed_data = b''
   13with gzip.GzipFile(fileobj=response.raw) as gzip_file:
   14    while True:
   15        chunk = gzip_file.read(min(max_size, 4096))  # 按块读取并解压
   16        if not chunk:
   17            break
   18        decompressed_data += chunk

2. 使用第三方库进行安全解压： 可以使用支持限制解压大小的第三方库，例如smart_open提供的gzip.open函数可以设置一个上限。

3. 配置HTTP客户端： 虽然requests库自身不直接提供Gzip炸弹防护，但在构建HTTP客户端时，可以在中间件级别做拦截，监控解压后的数据量。

4. 服务器端配置： 最安全的做法是在服务器端进行防御，限制响应的压缩率或响应体的最大大小。

预防Gzip炸弹攻击更多的是在应用程序设计阶段考虑资源消耗的合理限制，而不是单纯依赖某个库的功能。同时，健全的安全策略应该包括对HTTP响应内容长度的合理预期和限制，尤其是在处理不受信任来源的输入时。