京公网安备11010502063487号验证 @app.route():它返回原函数,往 url_map 与 view_functions 各写一项;和 add_url_rule 得到相同的规则;endpoint 默认是函数名,同名会 AssertionError;一个函数可挂多个路径;第一个请求之后不能再注册;flask routes 命令。
实测 Flask 路由的匹配顺序:静态路径优先于动态路径、int 优先于 string、path 最宽松、静态前缀优先,都与注册顺序无关;完全相同的规则先注册的生效;同路径不同方法按方法分发;匹配器是状态机,权重 int=50、string=100、path=200。
逐个验证 Flask 内置 URL 转换器:string、int、float、path、uuid、any 各自匹配什么、视图收到什么类型;int/string 的参数;url_for 反向生成时的转换;每个转换器的正则与权重。
实现并验证两个自定义 URL 转换器(逗号分隔的列表、按 ID 查用户并在不存在时 404):to_python 与 to_url 的作用、ValidationError 变成 404、未注册转换器的 LookupError、与 abort(404) 触发回调的差别、开销与内置 int 无明显差别。
实测路由尾部斜杠:规则以 / 结尾时不带斜杠访问得到 308 重定向到带斜杠的形式,规则不带斜杠时带斜杠访问是 404;POST 的 308 保留方法;Location 是绝对 URL;strict_slashes=False 与全局设置;多一次重定向在 test client 里是直接访问的 2.8 倍。
用elasticsearch-certutil生成证书给HTTP层开启TLS，验证普通http协议连接该端口什么都没返回；curl -k跳过验证能成功连接；导出CA证书后用--cacert指定该CA不跳过验证依然成功，证明是完整证书链验证；不给任何信任锚点直连收到self signed certificate错误退出码60，揭示HTTPS安全性取决于客户端信不信任签发证书的CA。
验证 url_for():多余参数变查询字符串;_anchor、_external、_scheme;蓝图的 endpoint 与 .相对写法;BuildError 的建议提示;无请求上下文时需要 SERVER_NAME;SCRIPT_NAME 与 APPLICATION_ROOT 的前缀;static 端点加 v= 破坏缓存。
验证 Flask 的静态文件路由:/static/<path:filename>;../ 与各种编码写法都出不了 static 目录;隐藏文件会被发出去;ETag、Last-Modified、304、Range 206;SEND_FILE_MAX_AGE_DEFAULT 默认 no-cache;自定义 static_folder 与 url_path;发 10 KB 文件约为直接读取的 7.2 倍。
实测 Flask 的 HTTP 方法限制:默认只允许 GET(自动加 HEAD 与 OPTIONS);各路由 × 7 种方法的状态码矩阵;405 带 Allow 头;methods 写小写会规整、写字符串报 TypeError;MethodView 的 methods;用中间件做方法覆盖。
实测 Flask 自动的 OPTIONS 与 HEAD:OPTIONS 是 200 带 Allow 且不调用视图;HEAD 会执行视图只是去掉正文;自己处理 OPTIONS 与 provide_automatic_options=False;before_request 对 OPTIONS 也执行;没有 CORS 头时的预检响应。
实测 Flask 路由冲突:同名 endpoint 会 AssertionError;同一 URL 被不同端点注册不会报错、先注册的赢(应用与蓝图也一样);同蓝图多次注册要 name=;通配路由不吃具体路由;一个检查重复(模式+方法)的脚本;flask routes --sort。
查内置kibana_system角色的完整定义，62条权限规则几乎全对应Kibana内部系统索引，唯独一条对*通配符只给view_index_metadata和monitor；建业务索引后用绑定kibana_system的用户测试，查mapping和stats都成功但_search读取文档内容被拒绝，验证Kibana系统账号能看到索引结构却读不到业务数据内容的权限边界。