通过wfastcgi.py从Flask应用读取IIS会话变量

我之前帮不少开发者处理过类似的IIS+多语言应用共存的部署场景，结合你描述的情况——子域名下Flask、ASP.NET、PHP共用，wfastcgi剥离前缀，用户需先登录服务器访问——下面给你几个关键的配置和安全要点：

1. 确保Flask路由与IIS前缀的正确映射 #

因为wfastcgi已经帮你剥离了/<app_name>/前缀，Flask里的根路由/就对应外部的https://<subdomain>.<domain>/<app_name>/，这里要注意两个细节：

• 别在Flask里硬编码外部URL前缀，用request.script_root动态生成链接，避免后续修改app_name时大面积改代码：

  from flask import url_for
  
  # 生成的链接会自动带上IIS的app_name前缀，且强制HTTPS
  def get_app_url(endpoint):
      return url_for(endpoint, _external=True, _scheme='https')
  

• 在web.config里配置路径重写，确保只有/<app_name>/下的请求才转发给Flask，避免和同子域名的其他应用冲突：

  <system.webServer>
    <handlers>
      <add name="Python FastCGI" path="*" verb="*" modules="FastCgiModule" scriptProcessor="C:\Python27\python.exe|C:\inetpub\wwwroot\<app_name>\wfastcgi.py" resourceType="Unspecified" requireAccess="Script" />
    </handlers>
    <rewrite>
      <rules>
        <rule name="Flask Route Forward" stopProcessing="true">
          <match url="^<app_name>/(.*)" />
          <action type="Rewrite" url="wfastcgi.py/{R:1}" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
  

2. 同子域名多应用的隔离与安全防护 #

同一个子域名下跑不同技术栈的应用，最容易踩会话冲突和权限泄露的坑，要做好隔离：

• 给Flask设置独立的会话Cookie路径，避免和ASP.NET/PHP的Cookie互相干扰：

  app = Flask(__name__)
  app.config['SESSION_COOKIE_PATH'] = '/<app_name>/'
  app.config['SESSION_COOKIE_SECURE'] = True  # 强制只在HTTPS下传输Cookie
  app.config['SESSION_COOKIE_HTTPONLY'] = True  # 禁止前端JS读取Cookie，防XSS
  

• 给Flask分配独立的IIS应用程序池，权限设置为运行该应用的最低必要权限，不要和ASP.NET/PHP共用池，防止权限溢出风险。

3. 集成服务器端登录验证 #

用户访问前需登录服务器，这里推荐两种适配IIS的方案：

• 利用IIS Windows身份验证：在web.config里开启身份验证，Flask可以通过环境变量获取登录用户：

  from flask import request, redirect
  
  @app.route('/')
  def index():
      username = request.environ.get('REMOTE_USER')
      if not username:
          # 未登录则重定向到IIS登录页面
          return redirect(request.url)
      return f'欢迎访问，{username}！'
  

• 自定义SSO集成：如果服务器有统一的登录系统，可以在Flask的全局前置钩子（before_request）里验证用户登录状态，未登录则跳转至服务器登录页。

4. Flask 0.12版本的特殊注意事项 #

Flask 0.12是比较老旧的版本，务必做好安全加固：

• 升级到该分支的最新小版本（比如0.12.5），修复已知的安全漏洞
• 生产环境绝对不能开启debug=True，哪怕是子域名下的内部应用，避免代码执行风险

内容的提问来源于stack exchange，提问作者susodapop