# VULNERÁVEL — concatenação de string na query @app.get("/usuarios") def buscar(nome: str): query = f"SELECT * FROM usuarios WHERE nome = '{nome}'" # Se nome = "'; DROP TABLE usuarios; --" # vira: SELECT * FROM usuarios WHERE nome = ''; DROP TABLE usuarios; --' return db.execute(query) # SEGURO — query parametrizada (ORM ou parâmetros) def buscar_seguro(nome: str): # SQLAlchemy — parametrizado automaticamente return db.query(Usuario).filter(Usuario.nome == nome).all() # SQL puro com parâmetros return db.execute("SELECT * FROM usuarios WHERE nome = :nome", {"nome": nome})

# XSS acontece quando o backend retorna dados do usuário sem sanitizar # e o frontend renderiza como HTML # Vulnerável: retorna HTML com input do usuário comentario = request.body.comentario return f"

{comentario}

" # Se comentario = "" # o script executa no browser de quem ver! # Defesa: escape de HTML + Content-Security-Policy import html comentario_seguro = html.escape(comentario) # Header CSP no Nginx: add_header Content-Security-Policy "default-src 'self';"

# CSRF: site malicioso faz requisição autenticada em nome do usuário # Ex: usuário logado no banco, acessa site malicioso que faz: # POST bank.com/transferir com os cookies do usuário! # Defesa 1: CSRF Token (formulários) # Defesa 2: SameSite cookies response.set_cookie("session", value, samesite="strict") # Defesa 3: APIs REST com JWT no header (não cookie) # O header Authorization não é enviado automaticamente pelo browser # — CSRF não funciona com JWT no header!

pip install slowapi from slowapi import Limiter from slowapi.util import get_remote_address limiter = Limiter(key_func=get_remote_address) app.state.limiter = limiter # Limitar rotas específicas @app.post("/auth/login") @limiter.limit("5/minute") # max 5 tentativas por minuto por IP async def login(request: Request, dados: LoginSchema): ... @app.post("/auth/esqueci-senha") @limiter.limit("3/hour") # max 3 por hora async def esqueci_senha(request: Request, email: str): ...

from passlib.context import CryptContext pwd = CryptContext(schemes=["bcrypt"], deprecated="auto") # Criar hash senha_hash = pwd.hash("minha_senha_123") # $2b$12$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy # Verificar pwd.verify("minha_senha_123", senha_hash) # True pwd.verify("senha_errada", senha_hash) # False # Por que bcrypt e não SHA-256 para senhas? # SHA-256: rápido demais — atacante testa bilhões por segundo # bcrypt: lento por design (fator de custo configurável) # bcrypt com cost=12 → ~100ms por hash → força bruta inviável

from jose import jwt from datetime import datetime, timedelta SECRET = "chave-secreta-minima-256-bits-de-comprimento" ALGO = "HS256" # HMAC com SHA-256 # Criar token def criar_token(user_id: int, role: str) -> str: payload = { "sub": str(user_id), # subject (ID do usuário) "role": role, "iat": datetime.utcnow(), # issued at "exp": datetime.utcnow() + timedelta(minutes=30) # expira em 30min } return jwt.encode(payload, SECRET, algorithm=ALGO) # Verificar token def verificar_token(token: str) -> dict: return jwt.decode(token, SECRET, algorithms=[ALGO]) # Lança JWTError se inválido ou expirado # HS256 = assinatura simétrica (mesma chave para assinar e verificar) # RS256 = assinatura assimétrica (privada assina, pública verifica) — melhor para microsserviços

from fastapi import FastAPI, Depends, HTTPException, Security from fastapi.security import HTTPBearer, HTTPAuthorizationCredentials from fastapi.middleware.cors import CORSMiddleware from fastapi.middleware.trustedhost import TrustedHostMiddleware import secrets app = FastAPI() # CORS — restrinja em produção app.add_middleware(CORSMiddleware, allow_origins=["https://meuapp.com"], # NÃO use ["*"] em produção allow_methods=["GET", "POST", "PUT", "DELETE"], allow_headers=["Authorization", "Content-Type"], allow_credentials=True, ) # Trusted Host — evita Host header attacks app.add_middleware(TrustedHostMiddleware, allowed_hosts=["meuapp.com", "api.meuapp.com"] ) # Security headers via Nginx (não no FastAPI) # add_header X-Frame-Options "DENY"; # add_header X-Content-Type-Options "nosniff"; # add_header Strict-Transport-Security "max-age=31536000"; # add_header X-XSS-Protection "1; mode=block";

from enum import Enum from functools import wraps class Role(str, Enum): ADMIN = "admin" USER = "user" security = HTTPBearer() # Dependência de autenticação async def get_current_user( credentials: HTTPAuthorizationCredentials = Security(security) ): token = credentials.credentials try: payload = verificar_token(token) return payload except: raise HTTPException(401, "Token inválido ou expirado") # Dependência de autorização por role def requer_role(role: Role): async def verificar(user=Depends(get_current_user)): if user.get("role") != role: raise HTTPException(403, "Sem permissão") return user return verificar # Uso nas rotas @app.get("/admin/usuarios") async def admin_listar(user=Depends(requer_role(Role.ADMIN))): return {"msg": "só admin chega aqui"} @app.get("/perfil") async def meu_perfil(user=Depends(get_current_user)): return {"id": user["sub"], "role": user["role"]} # BOLA — verificar propriedade do recurso @app.get("/pedidos/{pedido_id}") async def get_pedido(pedido_id: int, user=Depends(get_current_user)): pedido = db.query(Pedido).get(pedido_id) if not pedido: raise HTTPException(404) if pedido.usuario_id != int(user["sub"]): # BOLA check! raise HTTPException(403, "Não é seu pedido") return pedido