GAE 任务，这些网址是否设计安全？答案

【问题标题】：GAE task, are the urls secure by design?GAE 任务，这些网址是否设计安全？
【发布时间】：2016-04-06 13:15:01
【问题描述】：

我正试图围绕 Google App Engine，更具体地说，围绕任务。

我的问题是关于安全性的，如果我定义一个像这样的队列：

- url: /queues/long-task
  script: urlhandlers.QueueLongTask.app
  login: admin

我能确定 /queues/long-task 只能由管理员和任务系统访问吗？我无法在 Google 文档中找到有关此内容的参考。

提前谢谢你

【问题讨论】：

【解决方案1】：

你是对的，登录：管理员会处理它。

如果您只想在任务调用时执行特定操作，也可以使用 X-AppEngine-QueueName 之类的标头：

“这些标头由 Google App Engine 内部设置。如果您的请求处理程序找到任何这些标头，它可以相信该请求是任务队列请求。如果上述任何标头出现在外部用户请求中你的应用程序，它们被剥离了。”

【讨论】：

感谢您的精确，但关于标头的部分让我感到困扰：作为客户，我可以将任何标头添加到我的请求中，包括例如X-AppEngine-QueueName。 GAE 是否阻止客户端添加此标头？
您可以添加它们，但应用引擎会剥离它们：“如果上述任何标头出现在对您的应用的外部用户请求中，它们就会被剥离。”