безопасный парсинг длинных запросов

Внимательно изучи класс BaseRequest, во первых и для post и для get запросов есть ограничения

#: Maximum size of memory buffer for :attr:`body` in bytes. MEMFILE_MAX = 102400 #: Maximum number pr GET or POST parameters per request MAX_PARAMS = 100

Как видишь параметры можно менять в нужную сторону.

Всю остальную защиту как то валидацию post переменных берешь на себя, например можно использовать для парсинга и валидации форм - wtforms

P.S Да еще забыла про отправку через форму больших файлов, это можешь тоже сам вручную проверять в обработчике размер , если превышен отклонять.

Спасибо за помощь.

А есть ли эффективный способ работать с большими файлами? Ну чтобы они, например, сразу на диск складывались, а не в памяти хранились пока их не заберут. Интересует возможность в связке с nginx.

запихни это в эксепшон, т.к. если там будет строка, то вылезет ValueError.

На самом деле так и задумано. Нет смысла отлавливать этот эксепшн чтобы делать raise какого-то другого эксепшена в функции без сайд-эффектов. Т.е. смысла в таком коде я не вижу:

try:
  ..
except ValueError:
  raise HTTPError(400, "bad request")

Но я поставлю коммент в коде, спасибо.

Не обязательно raise. Можно, например, на какую-нибудь дефолтную страницу перекинуть пользователя (с опциональным сообщением об ошибке).

А ты обрати внимание как идет парсинг post запроса в bottle ,если размер запроса превышает значение параметра MEMFILE_MAX, то открывается временный файл и туда пишется тело запроса. В памяти больше MEMFILE_MAX не будет хранится. (метод _body )

Другое дело, если ты хочешь ограничить размер файлов которые готов принимать твой сервер, это уже надо сделать на уровне обработчика и проверить размер пришедшего файла и как верно сказал xpahos оберни в эксепшен ...

Еще раз совет, иногда просматривай код изнутри, полезно... И хорошая тренировка)))

ммм, ты прав, надо забомбить страницы об ошибках.

спасибо. Почему-то был уверен что нужного функционала там нет, поэтому даже не стал смотреть.

Я не знаю как отлавливает эксепшоны bottle, но лучше такие места закрывать эксепшонами, которые в продакшене смогут правильно отрабатывать. Я обычно в Pyramid HTTPNotFound отдаю в таком случае.

Это извращение, выплевывать 404, когда нужно говорить 400. true_admin все правильно говорил, а ты - нет.

только если ты кастомизируешь страницы об ошибках. изначально у тебя все было верно (эксепшен с 400)

Это извращение, выплевывать 404, когда нужно говорить 400. true_admin все правильно говорил, а ты - нет.

почему неправильно? Конечному пользователю без разницы какая ошибка будет видна, а у меня отдается все равно не стандартная страничка с надписью.

Конечному пользователю без разницы

конченному пользователю и разработчику может и без разницы, а вот технически одаренному - нет. Ну у вас позиция быдлокодера, честное слово.

конченному пользователю и разработчику может и без разницы, а вот технически одаренному - нет. Ну у вас позиция быдлокодера, честное слово.

так а в чем позиция быдлокодера? Что даст эта страничка технически одаренному? :)

Технически одаренный потом задолбает саппорт :))))

А вообще термин отличный - «технически одаренный пользователь»

Технически одаренный потом задолбает саппорт :))))

лучше 404, вопросов меньше будет :)