阿里给出的建议 “禁用 uwsgi socket 协议或配置 uwsgi socket 仅能通过本地访问”
当工程在容器中运行的时候,就不能设置仅本地访问了。所以只能以htttp方式启动uwsgi
将原uwsgi的启动命令(socket模式)
#前端运行
uwsgi --wsgi-file $UWSGI_FILE --master -p $PROCESS --threads $THREADS -s :$PORT -b 8192
#后端运行
uwsgi --wsgi-file $UWSGI_FILE --master -p $PROCESS --threads $THREADS -s :$PORT -b 8192 --daemonize /dev/null
修改为
#前端运行
uwsgi --wsgi-file $UWSGI_FILE --master -p $PROCESS --threads $THREADS --http :$PORT -b 8192
#后端运行
uwsgi --wsgi-file $UWSGI_FILE --master -p $PROCESS --threads $THREADS --http :$PORT -b 8192 --daemonize /dev/null#如果是非容器环境运行,也可以直接绑定127.0.0.1地址,也可以避免此漏洞。采用此种方式的部署,nginx可以不修改,依然采用uwsgi_pass方式
uwsgi --wsgi-file $UWSGI_FILE --master -p $PROCESS --threads $THREADS --socket 127.0.0.1:$PORT -b 8192
nginx配置修改(无论是80端口的http,还是443端口的https,均是以下写法)
# location / {
# uwsgi_pass 127.0.0.1:9000;
# include uwsgi_params;
# uwsgi_read_timeout 120s;
# client_max_body_size 15m;
# }location / {proxy_pass http://127.0.0.1:9000;proxy_set_header Host $host;proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;#proxy_read_timeout 120s;#client_max_body_size 15m;}