网络安全与信息技术实验1 网络信息技术的开发

一、实验背景与目的

随着互联网技术的飞速发展，网络信息技术已成为现代社会的基础设施。从Web应用到移动互联网，从云计算到物联网，网络信息技术的开发不仅改变了人们的生活方式，也带来了全新的安全挑战。本次实验旨在通过实际开发一个简单的网络应用，深入理解网络信息技术的核心原理，并探讨开发过程中涉及的安全问题。

实验目的包括：

掌握网络信息技术的基本概念与架构，理解客户端/服务器模型、HTTP协议、数据交换格式等。
能够使用常见的开发技术（如Python Flask或Node.js）构建一个基础的网络服务。
了解网络应用开发中的常见安全风险（如注入攻击、跨站脚本、未授权访问等），并学习基本的防护措施。
通过动手实践，培养网络信息技术的开发能力与安全意识。

二、实验环境与工具

操作系统：Windows 10 / Linux Ubuntu 20.04（或macOS）
编程语言：Python 3.8+ 或 Node.js 14+
开发框架：Flask（Python）或 Express（Node.js）
数据库：SQLite（轻量级，便于实验）
辅助工具：Postman（API测试）、浏览器开发者工具、Wireshark（可选，用于抓包分析）
代码编辑器：VS Code 或 PyCharm

三、实验原理

网络信息技术的开发通常基于请求-响应模型。客户端（如浏览器）向服务器发送HTTP请求，服务器处理请求并返回响应。开发过程涉及前端（HTML/CSS/JavaScript）和后端（服务端逻辑、数据库操作）。关键技术包括：

HTTP协议：定义请求方法（GET、POST等）、状态码、头部字段。
RESTful API设计：使用URI表示资源，通过HTTP方法操作资源。
数据格式：JSON或XML用于数据交换。
会话管理：Cookie、Session、Token（如JWT）用于用户认证。
安全机制：HTTPS、输入验证、参数化查询、CSRF防护等。

四、实验内容与步骤

4.1 需求分析

开发一个简易的“用户信息管理”网络应用，功能包括：

用户注册（用户名、密码）
用户登录
查看当前登录用户信息
用户注销

4.2 系统设计

前端：使用HTML表单提交数据，可选用简单的JavaScript进行验证。
后端：采用Flask框架，提供以下API：
POST /register：接收JSON数据，创建新用户（密码需哈希存储）。

POST /login：验证用户名和密码，成功则返回一个JWT令牌。

GET /profile：需要JWT令牌，返回当前用户信息。

POST /logout：客户端丢弃令牌即可（服务端无状态）。

数据库：SQLite，表users包含字段id、username、password_hash、email。
安全措施：
密码使用werkzeug.security的generate<em>password</em>hash和check<em>password</em>hash进行哈希。

使用参数化查询防止SQL注入。

JWT令牌设置过期时间，使用PyJWT库。

4.3 编码实现

以Flask为例，核心代码片段如下：

`python from flask import Flask, request, jsonify from werkzeug.security import generatepasswordhash, checkpasswordhash import sqlite3, jwt, datetime from functools import wraps

app = Flask(name)
app.config['SECRET_KEY'] = 'your-secret-key' # 实际应使用环境变量

def getdb():
conn = sqlite3.connect('users.db')
conn.rowfactory = sqlite3.Row
return conn

初始化数据库

def initdb():
with getdb() as conn:
conn.execute('CREATE TABLE IF NOT EXISTS users (id INTEGER PRIMARY KEY, username TEXT UNIQUE, passwordhash TEXT, email TEXT)')
initdb()

注册端点

@app.route('/register', methods=['POST'])
def register():
data = request.getjson()
username = data.get('username')
password = data.get('password')
email = data.get('email')
if not username or not password:
return jsonify({'message': 'Missing fields'}), 400
hashed = generatepasswordhash(password)
try:
with getdb() as conn:
conn.execute('INSERT INTO users (username, password_hash, email) VALUES (?, ?, ?)', (username, hashed, email))
return jsonify({'message': 'User created'}), 201
except sqlite3.IntegrityError:
return jsonify({'message': 'Username already exists'}), 409

登录端点

@app.route('/login', methods=['POST'])
def login():
data = request.getjson()
username = data.get('username')
password = data.get('password')
with getdb() as conn:
user = conn.execute('SELECT * FROM users WHERE username = ?', (username,)).fetchone()
if user and checkpasswordhash(user['passwordhash'], password):
token = jwt.encode({'userid': user['id'], 'exp': datetime.datetime.utcnow() + datetime.timedelta(hours=1)}, app.config['SECRET_KEY'], algorithm='HS256')
return jsonify({'token': token})
return jsonify({'message': 'Invalid credentials'}), 401

装饰器：验证JWT

def tokenrequired(f):
@wraps(f)
def decorated(*args, kwargs):
token = request.headers.get('Authorization')
if not token:
return jsonify({'message': 'Token missing'}), 401
try:
data = jwt.decode(token, app.config['SECRETKEY'], algorithms=['HS256'])
currentuserid = data['userid']
except jwt.ExpiredSignatureError:
return jsonify({'message': 'Token expired'}), 401
except jwt.InvalidTokenError:
return jsonify({'message': 'Invalid token'}), 401
return f(currentuser_id, *args, kwargs)
return decorated

受保护的个人信息端点

@app.route('/profile', methods=['GET'])
@tokenrequired
def profile(currentuserid):
with getdb() as conn:
user = conn.execute('SELECT id, username, email FROM users WHERE id = ?', (currentuserid,)).fetchone()
if user:
return jsonify(dict(user))
return jsonify({'message': 'User not found'}), 404

if name == 'main':
app.run(debug=True)
`

前端页面（可选）：编写简单的HTML页面，使用fetch API调用后端。

4.4 测试与验证

使用Postman或curl进行测试：

注册用户: POST /register 发送JSON数据。
用户登录: POST /login 获取token。
访问受保护资源: 在请求头中添加Authorization: <token>，GET /profile。
验证错误场景：无效凭据、过期令牌等。

同步进行安全检查：

检查密码是否以明文存储（应返回哈希）。
尝试SQL注入：在登录时输入username为admin' OR '1'='1，验证是否失败。
分析Cookie和Token的安全性（本示例使用JWT放在Header中）。

4.5 实验

通过本实验，我们完成了一个具备基本认证功能的网络应用，并实施了密码哈希、JWT认证、参数化查询等安全措施。实验揭示了网络信息技术开发的核心流程：需求分析、设计、实现、测试。也认识到安全必须融入开发各阶段，例如不使用明文密码、不拼接SQL语句、确保通信加密（虽然本例未启用HTTPS，实际应使用SSL/TLS）。