Minos社區(qū)，一個基于Tornado/Mongodb/Redis的簡約社區(qū)系統(tǒng)。

特點

• 簡單：去除傳統(tǒng)社區(qū)中多數(shù)不常用到的功能，保留精華。（這里向?http://zone.wooyun.org?學習）

• 高效：

  • mongodb：數(shù)據(jù)庫設計合理，以空間換取時間，盡量減少數(shù)據(jù)庫查詢次數(shù)。

  • 異步：tornado+motor全異步庫，增加web高并發(fā)訪問效率

  • redis：拋棄php中以文件形式保存session的做法，以redis內存數(shù)據(jù)庫保存session，增加速度。

• 安全：

  • CSP：全站默認開啟CSP，以新一代的前端安全策略防御前端安全問題（包括XSS/CSRF/Clickjacking等）。

  • Secure by default原則：使用默認的安全機制，所有業(yè)務邏輯問題為安全讓步。不符合安全的業(yè)務都沒有被加入Minos。tornado框架及其安全理念對Minos的安全有突出貢獻。

  • 注入漏洞：tornado不允許嵌套解析，用戶通過GET/POST傳入的參數(shù)只是字符串，不會成為list或dict，所以正常情況下不會造成mongodb的注入。

  • 文件上傳：python將不會去解析用戶上傳的任何文件。另外Minos在用戶上傳時仍然會檢查后綴，為防止XSS。

  • XSS漏洞：Tornado框架原則上所有輸出在模板里的變量都會經(jīng)過“HTML實體化”，包括單引號，一般情況下不會存在XSS漏洞。另外，社區(qū)帖子內容為富文本，將經(jīng)過富文本過濾器Python-XSS-Filter（?https://github.com/phith0n/python-xss-filter?）過濾并輸出。

  • CSRF漏洞：Tornado框架在開啟xsrf_cookies后，所有POST表單如果沒有Token將不會被接受。Minos默認開啟xsrf_cookies，并且所有增刪改查操作均通過POST進行。

  • 密碼存儲：Minos中，用戶密碼使用bcrypt庫計算哈希后存入數(shù)據(jù)庫，加密方法類似Wordpress，不能被簡單破譯。

• 穩(wěn)定：不允許一個warning。Minos已在debian上穩(wěn)定運行多日。

• 響應式：框架AmazeUI是一個mobile first的前端框架，對于各種屏幕的適應性都很好，加上我在手機屏幕大小的情況下隱藏了很多不必要的功能，所以在手機端也能愉快地看文章啦~