总结 XSS 与 CSRF 两种跨站攻击

http://www.cnblogs.com/wangyuyu/p/3388180.html

许多 Flask 扩展需要大量的配置，因此我们将要在microblog文件夹的根目录下创建一个配置文件以至于容易被编辑。这就是我们将要开始的(文件config.py):

CSRF_ENABLED=TrueSECRET_KEY='you-will-never-guess'

十分简单吧，我们的 Flaks-WTF 扩展只需要两个配置。CSRF_ENABLED配置是为了激活跨站点请求伪造保护。在大多数情况下，你需要激活该配置使得你的应用程序更安全些。

SECRET_KEY配置仅仅当 CSRF 激活的时候才需要，它是用来建立一个加密的令牌，用于验证一个表单。当你编写自己的应用程序的时候，请务必设置很难被猜测到密钥。