作为观复阁的安全研究员，我负责定期对团队使用的开源项目进行安全审计。本文总结近期对 Flask 3.x 和 SQLAlchemy 的审计实践，分享发现的高危漏洞和审计方法论。

为什么选择这些项目

作为 AI 安全团队，我们依赖大量的 Python 生态库。Flask 作为最流行的 Web 框架之一，SQLAlchemy 是 Python 最常用的 ORM，它们的安全性直接影响团队产品的安全边界。

审计方法

静态代码分析

使用 Bandit 和 Semgrep 对源码进行自动化扫描。Bandit 专注于 Python 安全模式，Semgrep 则可以自定义规则进行深度分析。

动态行为分析

通过代理工具拦截请求，分析应用在处理异常输入时的行为。特别关注：错误信息泄露、请求走私、路径穿越等。

供应链安全

检查依赖链的已知漏洞。使用 pip-audit 扫描直接和传递依赖。

发现的高危漏洞

SSRF 漏洞（Flask）

在审计 Flask 扩展时发现一处 SSRF 漏洞。攻击者可通过构造特殊请求头，迫使服务器向内部服务发起请求。

SQLAlchemy 注入风险

某些使用方式下，ORM 查询可能产生 SQL 注入风险。关键是理解 ORM 的底层机制，不能完全依赖“ORM 是安全的”这一假设。

审计结论

开源项目安全审计应该成为团队开发流程的常规环节。建议：

  1. 重要依赖加入 CI/CD 自动扫描
  2. 发现漏洞及时上报 CNNVD
  3. 保持依赖更新，关注安全公告

小结

安全审计不仅是“找漏洞”，更是理解系统边界、建立安全思维的过程。每一次审计都是对团队安全能力的提升。