如何不响应 Google App Engine 上的请求

Question

计时攻击的一种防御措施是，如果调用未能通过质询，则根本不响应请求，因为这可以证明没有透露有关比较的计时信息。

在 Google 应用程序 Engine/Flask 中有没有办法不响应请求？

我认为可以使用例如sleep(TIMEOUT) 其中 TIMEOUT 大于 App Engine 响应的最长时间，但我担心这会导致拒绝服务，因为它会使线程悬空。

Answer 1

很遗憾没有。

它命中路由的事实意味着您的网络服务已经 'handled' 该连接并且损坏已经完成。

最好的办法是abort(404)。

如果你真的想增加额外的防御，你需要使用额外的服务，但在应用程序级别你无能为力。如您所说，睡眠只会使连接保持打开状态。您最好的行动是以尽可能低的开销来处理它。