1. nginx的版本不要泄露

server_tokens off;

2. nginx返回头添加禁止iframe的东西

add_header X-Frame-Options SAMEORIGIN;

3. 接口限制一下跨域的问题

CORS_ALLOW_CREDENTIALS = True
CORS_ORIGIN_ALLOW_ALL = False
CORS_ORIGIN_WHITELIST = (
    "http://test1.example.com",
    "https://test1.example.com",
    "http://test2.example.com",
    "https://test2.example.com",
)

4. Cookie设置secure

response.set_cookie("sessionid", session_id, domain=".example.com", secure=True)

5. 发送验证码的一分钟重复发送时候，手机号前面有$1$等字符就是两个手机号，就会出现短信轰炸。需要对手机号做个正则校验

re.compile("^1([358][0-9]|4[579]|66|7[0135678]|9[89])[0-9]{8}$").search(phone)