-
Notifications
You must be signed in to change notification settings - Fork 75
/
ch6.html
315 lines (271 loc) · 24.8 KB
/
ch6.html
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
<!DOCTYPE html>
<html lang="zh-cn">
<head>
<meta charset="utf-8">
<title>第六章：编写安全应用 - Introduction to Tornado 中文翻译</title>
<meta name="author" content="你像从前一样">
<link href="./static/css/styles.css" rel="stylesheet">
</head>
<body>
<div class="container">
<div class="sidebar">
<div class="indextable">
<ul class="index-chapter">
<li><a href="./index.html">索引页</a></li>
<li><a href="./ch1.html">第一章：引言</a></li>
<li><a href="./ch2.html">第二章：表单和模板</a></li>
<li><a href="./ch3.html">第三章：模板扩展</a></li>
<li><a href="./ch4.html">第四章：数据库</a></li>
<li><a href="./ch5.html">第五章：异步Web服务</a></li>
<li><a href="./ch6.html" class="current-chapter">第六章：编写安全应用</a></li>
<ul class="index-section">
<li><a href="#ch6-1">6.1 Cookie漏洞</a></li>
<ul class="index-section">
<li><a href="#ch6-1-1">6.1.1 Cookie伪造</a></li>
<li><a href="#ch6-1-2">6.1.2 安全Cookies</a></li>
<ul class="index-section">
<li><a href="#ch6-1-2-1">6.1.2.1 使用安全Cookies</a></li>
<li><a href="#ch6-1-2-2">6.1.2.2 HTTP-Only和SSL Cookies</a></li>
</ul>
</ul>
<li><a href="#ch6-2">6.2 请求漏洞</a></li>
<ul class="index-section">
<li><a href="#ch6-2-1">6.2.1 剖析一个XSRF</a></li>
<li><a href="#ch6-2-2">6.2.2 防范请求伪造</a></li>
<li><a href="#ch6-2-3">6.2.3 使用Tornado的XSRF保护</a></li>
<ul class="index-section">
<li><a href="#ch6-2-3-1">6.2.3.1 XSRF令牌和AJAX请求</a></li>
</ul>
</ul>
<li><a href="#ch6-3">6.3 用户验证</a></li>
<ul class="index-section">
<li><a href="#ch6-3-1">6.3.1 示例：欢迎回来</a></li>
<li><a href="#ch6-3-2">6.3.2 authenticated装饰器</a></li>
<ul class="index-section">
<li><a href="#ch6-3-2-1">6.3.2.1 current_user属性</a></li>
<li><a href="#ch6-3-2-2">6.3.2.2 login_url设置</a></li>
</ul>
</ul>
<li><a href="#ch6-4">6.4 总结</a></li>
</ul>
<li><a href="./ch7.html">第七章：外部服务认证</a></li>
<li><a href="./ch8.html">第八章：部署Tornado</a></li>
</ul>
</div>
</div>
<div class="article">
<h1>第六章：编写安全应用<a class="headerlink" id="ch6" href="#ch6">¶</a></h1>
<p>很多时候，安全应用是以牺牲复杂度（以及开发者的头痛）为代价的。Tornado Web服务器从设计之初就在安全方面有了很多考虑，使其能够更容易地防范那些常见的漏洞。安全cookies防止用户的本地状态被其浏览器中的恶意代码暗中修改。此外，浏览器cookies可以与HTTP请求参数值作比较来防范跨站请求伪造攻击。在本章中，我们将看到使防范这些漏洞更简单的Tornado功能，以及使用这些功能的一个用户验证示例。</p>
<h2>6.1 Cookie漏洞<a class="headerlink" id="ch6-1" href="#ch6-1">¶</a></h2>
<p>许多网站使用浏览器cookies来存储浏览器会话间的用户标识。这是一个简单而又被广泛兼容的方式来存储跨浏览器会话的持久状态。不幸的是，浏览器cookies容易受到一些常见的攻击。本节将展示Tornado是如何防止一个恶意脚本来篡改你应用存储的cookies的。</p>
<h3>6.1.1 Cookie伪造<a class="headerlink" id="ch6-1-1" href="#ch6-1-1">¶</a></h3>
<p>有很多方式可以在浏览器中截获cookies。JavaScript和Flash对于它们所执行的页面的域有读写cookies的权限。浏览器插件也可由编程方法访问这些数据。跨站脚本攻击可以利用这些访问来修改访客浏览器中cookies的值。</p>
<h3>6.1.2 安全Cookies<a class="headerlink" id="ch6-1-2" href="#ch6-1-2">¶</a></h3>
<p>Tornado的安全cookies使用加密签名来验证cookies的值没有被服务器软件以外的任何人修改过。因为一个恶意脚本并不知道安全密钥，所以它不能在应用不知情时修改cookies。</p>
<h4>6.1.2.1 使用安全Cookies<a class="headerlink" id="ch6-1-2-1" href="#ch6-1-2-1">¶</a></h4>
<p>Tornado的<var>set_secure_cookie()</var>和<var>get_secure_cookie()</var>函数发送和取得浏览器的cookies，以防范浏览器中的恶意修改。为了使用这些函数，你必须在应用的构造函数中指定<var>cookie_secret</var>参数。让我们来看一个简单的例子。</p>
<p>代码清单6-1中的应用将渲染一个统计浏览器中页面被加载次数的页面。如果没有设置cookie（或者cookie已经被篡改了），应用将设置一个值为1的新cookie。否则，应用将从cookie中读到的值加1。</p>
<div class="codelist">
<div class="codelist-title">代码清单6-1 安全Cookie示例：cookie_counter.py</div>
<pre class="codelist-code">import tornado.httpserver
import tornado.ioloop
import tornado.web
import tornado.options
from tornado.options import define, options
define("port", default=8000, help="run on the given port", type=int)
class MainHandler(tornado.web.RequestHandler):
def get(self):
cookie = self.get_secure_cookie("count")
count = int(cookie) + 1 if cookie else 1
countString = "1 time" if count == 1 else "%d times" % count
self.set_secure_cookie("count", str(count))
self.write(
'<html><head><title>Cookie Counter</title></head>'
'<body><h1>You’ve viewed this page %s times.</h1>' % countString +
'</body></html>'
)
if __name__ == "__main__":
tornado.options.parse_command_line()
settings = {
"cookie_secret": "bZJc2sWbQLKos6GkHn/VB9oXwQt8S0R0kRvJ5/xJ89E="
}
application = tortnado.web.Application([
(r'/', MainHandler)
], **settings)
http_server = tornado.httpserver.HTTPServer(application)
http_server.listen(options.port)
tornado.ioloop.IOLoop.instance().start()</pre>
</div>
<p>如果你检查浏览器中的cookie值，会发现<var>count</var>储存的值类似于<var>MQ==|1310335926|8ef174ecc489ea963c5cdc26ab6d41b49502f2e2</var>。Tornado将cookie值编码为Base-64字符串，并添加了一个时间戳和一个cookie内容的HMAC签名。如果cookie的时间戳太旧（或来自未来），或签名和期望值不匹配，<var>get_secure_cookie()</var>函数会认为cookie已经被篡改，并返回<var>None</var>，就好像cookie从没设置过一样。</p>
<div class="tip">
<p>传递给<var>Application</var>构造函数的<var>cookie_secret</var>值应该是唯一的随机字符串。在Python shell下执行下面的代码片段将产生一个你自己的值：</p>
<pre class="shell">>>> <kbd>import base64, uuid</kbd>
>>> <kbd>base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes)</kbd>
'bZJc2sWbQLKos6GkHn/VB9oXwQt8S0R0kRvJ5/xJ89E='</pre>
</div>
<p>然而，Tornado的安全cookies仍然容易被窃听。攻击者可能会通过脚本或浏览器插件截获cookies，或者干脆窃听未加密的网络数据。记住cookie值是<em>签名</em>的而不是<em>加密</em>的。恶意程序能够读取已存储的cookies，并且可以传输他们的数据到任意服务器，或者通过发送没有修改的数据给应用伪造请求。因此，避免在浏览器cookie中存储敏感的用户数据是非常重要的。</p>
<p>我们还需要注意用户可能修改他自己的cookies的可能性，这会导致提权攻击。比如，如果我们在cookie中存储了用户已付费的文章剩余的浏览数，我们希望防止用户自己更新其中的数值来获取免费的内容。<var>httponly</var>和<var>secure</var>属性可以帮助我们防范这种攻击。</p>
<h4>6.1.2.2 HTTP-Only和SSL Cookies<a class="headerlink" id="ch6-1-2-2" href="#ch6-1-2-2">¶</a></h4>
<p>Tornado的cookie功能依附于Python内建的<var>Cookie</var>模块。因此，我们可以利用它所提供的一些安全功能。这些安全属性是HTTP cookie规范的一部分，并在它可能是如何暴露其值给它连接的服务器和它运行的脚本方面给予浏览器指导。比如，我们可以通过只允许SSL连接的方式减少cookie值在网络中被截获的可能性。我们也可以让浏览器对JavaScript隐藏cookie值。</p>
<p>为cookie设置<var>secure</var>属性来指示浏览器只通过SSL连接传递cookie。（这可能会产生一些困扰，但这不是Tornado的安全cookies，更精确的说那种方法应该被称为<em>签名</em>cookies。）从Python 2.6版本开始，<var>Cookie</var>对象还提供了一个<var>httponly</var>属性。包括这个属性指示浏览器对于JavaScript不可访问cookie，这可以防范来自读取cookie值的跨站脚本攻击。</p>
<p>为了开启这些功能，你可以向<var>set_cookie</var>和<var>set_secure_cookie</var>方法传递关键字参数。比如，一个安全的HTTP-only cookie（不是Tornado的签名cookie）可以调用<code>self.set_cookie('foo', 'bar', httponly=True, secure=True)</code>发送。</p>
<p>既然我们已经探讨了一些保护存储在cookies中的持久数据的策略，下面让我们看看另一种常见的攻击载体。下一节我们将看到一种防范向你的应用发送伪造请求的恶意网站。</p>
<h2>6.2 请求漏洞<a class="headerlink" id="ch6-2" href="#ch6-2">¶</a></h2>
<p>任何Web应用所面临的一个主要安全漏洞是跨站请求伪造，通常被简写为CSRF或XSRF，发音为"sea surf"。这个漏洞利用了浏览器的一个允许恶意攻击者在受害者网站注入脚本使未授权请求代表一个已登录用户的安全漏洞。让我们看一个例子。</p>
<h3>6.2.1 剖析一个XSRF<a class="headerlink" id="ch6-2-1" href="#ch6-2-1">¶</a></h3>
<p>假设Alice是Burt's Books的一个普通顾客。当她在这个在线商店登录帐号后，网站使用一个浏览器cookie标识她。现在假设一个不择手段的作者，Melvin，想增加他图书的销量。在一个Alice经常访问的Web论坛中，他发表了一个带有HTML图像标签的条目，其源码初始化为在线商店购物的URL。比如：</p>
<pre class="codelist-code"><img src="http://store.burts-books.com/purchase?title=Melvins+Web+Sploitz" /></pre>
<p>Alice的浏览器尝试获取这个图像资源，并且在请求中包含一个合法的cookies，并不知道取代小猫照片的是在线商店的购物URL。</p>
<h3>6.2.2 防范请求伪造<a class="headerlink" id="ch6-2-2" href="#ch6-2-2">¶</a></h3>
<p>有很多预防措施可以防止这种类型的攻击。首先你在开发应用时需要深谋远虑。任何会产生副作用的HTTP请求，比如点击购买按钮、编辑账户设置、改变密码或删除文档，都应该使用HTTP <dfn>POST</dfn>方法。无论如何，这是良好的RESTful做法，但它也有额外的优势用于防范像我们刚才看到的恶意图像那样琐碎的XSRF攻击。但是，这并不足够：一个恶意站点可能会通过其他手段，如HTML表单或XMLHTTPRequest API来向你的应用发送<dfn>POST</dfn>请求。保护<dfn>POST</dfn>请求需要额外的策略。</p>
<p>为了防范伪造<dfn>POST</dfn>请求，我们会要求每个请求包括一个参数值作为令牌来匹配存储在cookie中的对应值。我们的应用将通过一个cookie头和一个隐藏的HTML表单元素向页面提供令牌。当一个合法页面的表单被提交时，它将包括表单值和已存储的cookie。如果两者匹配，我们的应用认定请求有效。</p>
<p>由于第三方站点没有访问cookie数据的权限，他们将不能在请求中包含令牌cookie。这有效地防止了不可信网站发送未授权的请求。正如我们看到的，Tornado同样会让这个实现变得简单。</p>
<h3>6.2.3 使用Tornado的XSRF保护<a class="headerlink" id="ch6-2-3" href="#ch6-2-3">¶</a></h3>
<p>你可以通过在应用的构造函数中包含<var>xsrf_cookies</var>参数来开启XSRF保护：</p>
<pre class="codelist-code">settings = {
"cookie_secret": "bZJc2sWbQLKos6GkHn/VB9oXwQt8S0R0kRvJ5/xJ89E=",
"xsrf_cookies": True
}
application = tornado.web.Application([
(r'/', MainHandler),
(r'/purchase', PurchaseHandler),
], **settings)</pre>
<p>当这个应用标识被设置时，Tornado将拒绝请求参数中不包含正确的<var>_xsrf</var>值的<dfn>POST</dfn>、<dfn>PUT</dfn>和<dfn>DELETE</dfn>请求。Tornado将会在幕后处理<var>_xsrf</var> cookies，但你必须在你的HTML表单中包含XSRF令牌以确保授权合法请求。要做到这一点，只需要在你的模板中包含一个<var>xsrf_form_html</var>调用即可：</p>
<pre class="codelist-code"><form action="/purchase" method="POST">
{% raw xsrf_form_html() %}
<input type="text" name="title" />
<input type="text" name="quantity" />
<input type="submit" value="Check Out" />
</form></pre>
<h4>6.2.3.1 XSRF令牌和AJAX请求<a class="headerlink" id="ch6-2-3-1" href="#ch6-2-3-1">¶</a></h4>
<p>AJAX请求也需要一个<var>_xsrf</var>参数，但不是必须显式地在渲染页面时包含一个<var>_xsrf</var>值，而是通过脚本在客户端查询浏览器获得cookie值。下面的两个函数透明地添加令牌值给AJAX <dfn>POST</dfn>请求。第一个函数通过名字获取cookie，而第二个函数是一个添加<var>_xsrf</var>参数到传递给postJSON函数数据对象的便捷函数。</p>
<pre class="codelist-code">function getCookie(name) {
var c = document.cookie.match("\\b" + name + "=([^;]*)\\b");
return c ? c[1] : undefined;
}
jQuery.postJSON = function(url, data, callback) {
data._xsrf = getCookie("_xsrf");
jQuery.ajax({
url: url,
data: jQuery.param(data),
dataType: "json",
type: "POST",
success: callback
});
}</pre>
<p>这些预防措施需要思考很多，而Tornado的安全cookies支持和XSRF保护减轻了应用开发者的一些负担。可以肯定的是，内建的安全功能也非常有用，但在思考你应用的安全性方面需要时刻保持警惕。有很多在线Web应用安全文献，其中一个更全面的实践对策集合是Mozilla的<a href="https://wiki.mozilla.org/WebAppSec/Secure_Coding_Guidelines">安全编程指南</a>。</p>
<h2>6.3 用户验证<a class="headerlink" id="ch6-3" href="#ch6-3">¶</a></h2>
<p>既然我们已经看到了如何安全地设置和取得cookies，并理解了XSRF攻击背后的原理，现在就让我们看一个简单用户验证系统的演示示例。在本节中，我们将建立一个应用，询问访客的名字，然后将其存储在安全cookie中，以便之后取出。后续的请求将认出回客，并展示给她一个定制的页面。你将学到<var>login_url</var>参数和<var>tornado.web.authenticated</var>装饰器的相关知识，这将消除在类似应用中经常会涉及到的一些头疼的问题。</p>
<h3>6.3.1 示例：欢迎回来<a class="headerlink" id="ch6-3-1" href="#ch6-3-1">¶</a></h3>
<p>在这个例子中，我们将只通过存储在安全cookie里的用户名标识一个人。当某人首次在某个浏览器（或cookie过期后）访问我们的页面时，我们展示一个登录表单页面。表单作为到<var>LoginHandler</var>路由的<dfn>POST</dfn>请求被提交。<var>post</var>方法的主体调用<var>set_secure_cookie()</var>来存储<var>username</var>请求参数中提交的值。</p>
<p>代码清单6-2中的Tornado应用展示了我们本节要讨论的验证函数。<var>LoginHandler</var>类渲染登录表单并设置cookie，而<var>LogoutHandler</var>类删除cookie。</p>
<div class="codelist">
<div class="codelist-title">代码清单6-2 验证访客：cookies.py</div>
<pre class="codelist-code">import tornado.httpserver
import tornado.ioloop
import tornado.web
import tornado.options
import os.path
from tornado.options import define, options
define("port", default=8000, help="run on the given port", type=int)
class BaseHandler(tornado.web.RequestHandler):
def get_current_user(self):
return self.get_secure_cookie("username")
class LoginHandler(BaseHandler):
def get(self):
self.render('login.html')
def post(self):
self.set_secure_cookie("username", self.get_argument("username"))
self.redirect("/")
class WelcomeHandler(BaseHandler):
@tornado.web.authenticated
def get(self):
self.render('index.html', user=self.current_user)
class LogoutHandler(BaseHandler):
def get(self):
if (self.get_argument("logout", None)):
self.clear_cookie("username")
self.redirect("/")
if __name__ == "__main__":
tornado.options.parse_command_line()
settings = {
"template_path": os.path.join(os.path.dirname(__file__), "templates"),
"cookie_secret": "bZJc2sWbQLKos6GkHn/VB9oXwQt8S0R0kRvJ5/xJ89E=",
"xsrf_cookies": True,
"login_url": "/login"
}
application = tornado.web.Application([
(r'/', WelcomeHandler),
(r'/login', LoginHandler),
(r'/logout', LogoutHandler)
], **settings)
http_server = tornado.httpserver.HTTPServer(application)
http_server.listen(options.port)
tornado.ioloop.IOLoop.instance().start()</pre>
</div>
<p>代码清单6-3和6-4是应用<span class="filename">templates/</span>目录下的文件。</p>
<div class="codelist">
<div class="codelist-title">代码清单6-3 登录表单：login.html</div>
<pre class="codelist-code"><html>
<head>
<title>Please Log In</title>
</head>
<body>
<form action="/login" method="POST">
{% raw xsrf_form_html() %}
Username: <input type="text" name="username" />
<input type="submit" value="Log In" />
</form>
</body>
</html></pre>
</div>
<p></p>
<div class="codelist">
<div class="codelist-title">代码清单6-4 欢迎回客：index.html</div>
<pre class="codelist-code"><html>
<head>
<title>Welcome Back!</title>
</head>
<body>
<h1>Welcome back, {{ user }}</h1>
</body>
</html></pre>
</div>
<h3>6.3.2 authenticated装饰器<a class="headerlink" id="ch6-3-2" href="#ch6-3-2">¶</a></h3>
<p>为了使用Tornado的认证功能，我们需要对登录用户标记具体的处理函数。我们可以使用<var>@tornado.web.authenticated</var>装饰器完成它。当我们使用这个装饰器包裹一个处理方法时，Tornado将确保这个方法的主体只有在合法的用户被发现时才会调用。让我们看看例子中的<var>WelcomeHandler</var>吧，这个类只对已登录用户渲染<span class="filename">index.html</span>模板。</p>
<pre class="codelist-code">class WelcomeHandler(BaseHandler):
@tornado.web.authenticated
def get(self):
self.render('index.html', user=self.current_user)</pre>
<p>在<var>get</var>方法被调用之前，<var>authenticated</var>装饰器确保<var>current_usr</var>属性有值。（我们将简短的讨论这个属性。）如果<var>current_user</var>值为假（<var>None</var>、<var>False</var>、<var>0</var>、<var>""</var>），任何<dfn>GET</dfn>或<dfn>HEAD</dfn>请求都将把访客重定向到应用设置中<var>login_url</var>指定的URL。此外，非法用户的<dfn>POST</dfn>请求将返回一个带有403（Forbidden）状态的HTTP响应。</p>
<p>如果发现了一个合法的用户，Tornado将如期调用处理方法。为了实现完整功能，<var>authenticated</var>装饰器依赖于<var>current_user</var>属性和<var>login_url</var>设置，我们将在下面看到具体讲解。</p>
<h4>6.3.2.1 current_user属性<a class="headerlink" id="ch6-3-2-1" href="#ch6-3-2-1">¶</a></h4>
<p>请求处理类有一个<var>current_user</var>属性（同样也在处理程序渲染的任何模板中可用）可以用来存储为当前请求进行用户验证的标识。其默认值为<var>None</var>。为了<var>authenticated</var>装饰器能够成功标识一个已认证用户，你必须覆写请求处理程序中默认的<var>get_current_user()</var>方法来返回当前用户。</p>
<p>实际的实现由你决定，不过在这个例子中，我们只是从安全cookie中取出访客的姓名。很明显，你希望使用一个更加鲁棒的技术，但是出于演示的目的，我们将使用下面的方法：</p>
<pre class="codelist-code">class BaseHandler(tornado.web.RequestHandler):
def get_current_user(self):
return self.get_secure_cookie("username")</pre>
<p>尽管这里讨论的例子并没有在存储和取出用户密码或其他凭证上有所深入，但本章中讨论的技术可以以最小的额外努力来扩展到查询数据库中的认证。</p>
<h4>6.3.2.2 login_url设置<a class="headerlink" id="ch6-3-2-2" href="#ch6-3-2-2">¶</a></h4>
<p>让我们简单看看应用的构造函数。记住这里我们传递了一个新的设置给应用：<var>login_url</var>是应用登录表单的地址。如果<var>get_current_user</var>方法返回了一个假值，带有<var>authenticated</var>装饰器的处理程序将重定向浏览器的URL以便登录。</p>
<pre class="codelist-code">settings = {
"template_path": os.path.join(os.path.dirname(__file__), "templates"),
"cookie_secret": "bZJc2sWbQLKos6GkHn/VB9oXwQt8S0R0kRvJ5/xJ89E=",
"xsrf_cookies": True,
"login_url": "/login"
}
application = tornado.web.Application([
(r'/', WelcomeHandler),
(r'/login', LoginHandler),
(r'/logout', LogoutHandler)
], **settings)</pre>
<p>当Tornado构建重定向URL时，它还会给查询字符串添加一个<var>next</var>参数，其中包含了发起重定向到登录页面的URL资源地址。你可以使用像<var>self.redirect(self.get_argument('next', '/'))</var>这样的行来重定向登录后用户回到的页面。</p>
<h2>6.4 总结<a class="headerlink" id="ch6-4" href="#ch6-4">¶</a></h2>
<p>我们在本章中看到了两种帮助你的Tornado应用安全的技术，以及一个如何使用<var>@tornado.web.authenticated</var>实现用户认证的例子。在<a href="./ch7.html">第七章</a>，我们将看到在那些像Facebook和Twitter一样需要外部Web服务认证的应用中如何扩展我们这里谈论的概念。</p>
</div>
<div class="footer">
<small>© 本文由<a href="http://www.pythoner.com">你像从前一样</a>翻译，转载请注明出处。本书版权由原作者拥有。</small>
</div>
</div>
</body>
</html>