12.4 Django 的安全 (Security) 深入

文档摘要

12.4 Django 的安全（Security）深入核心摘要：Django 内置多重纵深防御机制，涵盖 XSS、CSRF、SQL 注入、点击劫持、会话劫持、认证授权及传输安全等关键领域。本文系统解析 Django 安全架构原理、默认防护行为、配置要点与生产级最佳实践，助开发者构建符合 OWASP Top 10 标准的高安全性 Web 应用。 12.4.1 Web 安全的重要性与 Django 的安全设计哲学在现代 Web 开发中，安全不是附加功能，而是基础架构的组成部分。随着数据泄露、API 滥用与自动化攻击工具普及，任何未加固的应用都面临实质性风险。Django 从诞生之初即贯彻「安全默认（secure by default）」原则——关键防护机制无需手动启用，开箱即用。

12.4 Django 的安全（Security）深入

核心摘要：Django 内置多重纵深防御机制，涵盖 XSS、CSRF、SQL 注入、点击劫持、会话劫持、认证授权及传输安全等关键领域。本文系统解析 Django 安全架构原理、默认防护行为、配置要点与生产级最佳实践，助开发者构建符合 OWASP Top 10 标准的高安全性 Web 应用。

12.4.1 Web 安全的重要性与 Django 的安全设计哲学

在现代 Web 开发中，安全不是附加功能，而是基础架构的组成部分。随着数据泄露、API 滥用与自动化攻击工具普及，任何未加固的应用都面临实质性风险。Django 从诞生之初即贯彻「安全默认（secure by default）」原则——关键防护机制无需手动启用，开箱即用。其安全模型采用纵深防御（Defense in Depth）策略，覆盖请求生命周期各环节：传输层（HTTPS）、会话层（Cookie 安全）、应用层（CSRF/XSS 防护）、数据层（ORM 参数化查询）与权限层（细粒度授权）。这种分层防护显著降低开发者因疏忽引入漏洞的概率，同时保留对高级场景的可控扩展能力。

12.4.2 常见 Web 安全漏洞与 Django 防御机制

12.4.2.1 跨站脚本攻击（XSS）

漏洞本质
XSS 利用浏览器对 HTML/JavaScript 的解析机制，将恶意脚本注入可信页面。攻击者可窃取会话 Cookie、重定向用户、篡改 DOM 或发起后续攻击。

Django 防御体系

模板自动转义（默认启用）
Django 模板引擎自动将变量中的 <, >, &, ", ' 转义为 HTML 实体（如 <），确保用户输入被渲染为纯文本而非可执行代码。


{# views.py #}
def profile_view(request):
    context = {'bio': '<script>fetch("/api/steal", {method:"POST", body:document.cookie});</script>'}
    return render(request, 'profile.html', context)


{# profile.html #}
<div class="bio">{{ bio }}</div>

渲染结果（安全）：


<div class="bio">&lt;script&gt;fetch(&quot;/api/steal&quot;, {method:&quot;POST&quot;, body:document.cookie});&lt;/script&gt;</div>

|safe 过滤器的严格管控
仅当内容来源完全可信（如管理员编辑的富文本）且已通过 HTML 清洗（如 bleach 库）时，方可使用 {{ content|safe }}。禁用自动转义必须伴随内容白名单校验。

内容安全策略（CSP）增强
通过 django-csp 包实施 CSP，限制脚本、样式、图片等资源的加载来源，从根本上阻断未授权脚本执行：


# settings.py
INSTALLED_APPS += ['csp']
MIDDLEWARE += ['csp.middleware.CSPMiddleware']

CSP_DEFAULT_SRC = ("'self'",)
CSP_SCRIPT_SRC = ("'self'", "'unsafe-inline'", "https://cdn.jsdelivr.net")
CSP_STYLE_SRC = ("'self'", "'unsafe-inline'", "https://fonts.googleapis.com")
CSP_IMG_SRC = ("'self'", "data:", "https:")
CSP_REPORT_URI = "/csp-report/"  # 违规行为上报端点

XSS 攻击与防御流程图示

12.4.2.2 跨站请求伪造（CSRF）

漏洞本质
攻击者诱导已登录用户向目标站点发起非预期请求（如转账、密码修改），利用浏览器自动携带会话 Cookie 的特性，使服务器误认为请求来自合法用户。

Django 防御机制

CSRF 中间件与 Token 绑定
CsrfViewMiddleware 强制所有非 GET/HEAD/OPTIONS 请求携带有效 CSRF Token。Token 与用户会话密钥绑定，每次登录轮换，且存储于加密 Cookie 与表单隐藏字段中。
```
<form method="post">
    {% csrf_token %}  {# 生成 <input type="hidden" name="csrfmiddlewaretoken" value="..."> #}
    <input name="amount" value="1000">
    <button type="submit">转账</button>
</form>
```

AJAX 请求防护
前端需从 csrftoken Cookie 读取 Token，并通过 X-CSRFToken 请求头提交：


// 获取 CSRF Token
function getCookie(name) {
    const value = `; ${document.cookie}`;
    const parts = value.split(`; ${name}=`); 
    if (parts.length === 2) return parts.pop().split(';').shift();
}

// Fetch 请求示例
fetch('/api/transfer/', {
    method: 'POST',
    headers: {
        'X-CSRFToken': getCookie('csrftoken'),
        'Content-Type': 'application/json'
    },
    body: JSON.stringify({amount: 1000})
});

敏感操作的双重确认
对高危操作（如删除账户、修改邮箱），在 CSRF 防护基础上增加二次验证（如密码确认、短信验证码）。

CSRF 攻击与防御流程图示

12.4.2.3 SQL 注入

漏洞本质
攻击者通过构造恶意输入，改变 SQL 查询逻辑（如 '; DROP TABLE users--），绕过应用逻辑直接操作数据库。

Django 防御核心

ORM 参数化查询（默认强制）
Django ORM 所有查询方法（filter(), exclude(), get()）均使用参数化占位符，数据库驱动确保输入值仅作为数据处理，绝不参与 SQL 解析：


# 安全：参数化查询
User.objects.filter(email=request.GET.get('email'))
# 生成 SQL：SELECT * FROM auth_user WHERE email = %s

# 安全：Raw SQL 参数化
from django.db import connection
with connection.cursor() as cursor:
    cursor.execute("SELECT * FROM auth_user WHERE email = %s", [email])

绝对禁止字符串拼接
下列模式存在高危风险，必须禁用：


# ❌ 危险：动态拼接
cursor.execute(f"SELECT * FROM auth_user WHERE email = '{email}'")

12.4.2.4 点击劫持（Clickjacking）

漏洞本质
攻击者使用透明 <iframe> 覆盖目标网站按钮，诱导用户点击恶意层，实则触发目标站操作（如点赞、支付）。

Django 防御方案

X-Frame-Options 中间件（默认启用）
通过响应头控制页面是否允许被嵌入框架：


# settings.py
X_FRAME_OPTIONS = 'DENY'  # 推荐：完全禁止嵌入
# 或
X_FRAME_OPTIONS = 'SAMEORIGIN'  # 仅允许同源嵌入

现代替代方案：CSP frame-ancestors
在启用 django-csp 后，优先使用更灵活的 CSP 指令：
```
CSP_FRAME_ANCESTORS = ("'none'",)  # 等效于 X-Frame-Options: DENY
```

点击劫持攻击与防御流程图示

12.4.2.5 会话安全

核心风险
会话 ID 泄露（网络嗅探、XSS 窃取）导致会话劫持；会话固定（Session Fixation）允许攻击者预设会话 ID。

Django 安全配置


# settings.py
SESSION_COOKIE_SECURE = True          # 仅 HTTPS 传输
SESSION_COOKIE_HTTPONLY = True        # 禁止 JavaScript 访问
SESSION_COOKIE_SAMESITE = 'Strict'    # 阻断跨站请求携带 Cookie
SESSION_EXPIRE_AT_BROWSER_CLOSE = True # 关闭浏览器即失效
SESSION_SAVE_EVERY_REQUEST = True     # 每次请求刷新过期时间

会话轮换（自动启用）
用户成功登录后，Django 自动废弃旧会话并生成新会话 ID，有效防御会话固定攻击。

12.4.2.6 认证与授权安全

Django 内置安全能力

密码存储：PBKDF2 + SHA256 + 100,000 迭代（django.contrib.auth.hashers.PBKDF2PasswordHasher）
认证后端扩展：支持 LDAP、OAuth2、自定义 Token 认证
权限模型：基于模型（add_user, change_user）、对象级（django-guardian）及组权限
视图保护：@login_required, @permission_required, PermissionRequiredMixin

生产级加固建议

启用密码强度验证：


AUTH_PASSWORD_VALIDATORS = [
    {'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator'},
    {'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator', 'OPTIONS': {'min_length': 12}},
    {'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator'},
    {'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator'},
]

集成 django-axes 限制登录尝试，django-two-factor-auth 启用 TOTP 双因素认证。

12.4.2.7 传输安全（HTTPS）

Django 生产环境强制配置


# settings.py
SECURE_SSL_REDIRECT = True                    # HTTP → HTTPS 重定向
SECURE_HSTS_SECONDS = 31536000                # HSTS 有效期（1年）
SECURE_HSTS_INCLUDE_SUBDOMAINS = True         # HSTS 覆盖子域名
SECURE_HSTS_PRELOAD = True                    # 提交至浏览器 HSTS 预加载列表
SECURE_CONTENT_TYPE_NOSNIFF = True            # 禁止 MIME 嗅探
SECURE_REFERRER_POLICY = 'strict-origin-when-cross-origin'

关键提示：HSTS 配置需在 HTTPS 环境下生效，首次部署建议先设为 300 秒测试，确认无误后再提升至 1 年。

12.4.3 安全中间件与生产级最佳实践

核心安全中间件清单

中间件	功能	启用状态
`django.middleware.security.SecurityMiddleware`	集成 HSTS、X-Content-Type-Options、X-XSS-Protection 等头部	默认启用
`django.middleware.csrf.CsrfViewMiddleware`	CSRF Token 校验	默认启用
`django.middleware.clickjacking.XFrameOptionsMiddleware`	X-Frame-Options 头部设置	默认启用
`csp.middleware.CSPMiddleware`	内容安全策略（需安装 `django-csp`）	按需启用

Django 安全黄金准则

✅ 版本更新：定期升级 Django 至 LTS 版本，及时应用安全补丁
✅ 最小权限：数据库用户仅授予 SELECT/INSERT/UPDATE 必需权限，禁用 DROP/CREATE
✅ 依赖审计：使用 pip-audit 或 safety 扫描第三方包漏洞
✅ 日志监控：记录认证失败、权限拒绝、CSRF 失败事件，接入 SIEM 系统
✅ 环境隔离：开发/测试/生产环境使用独立 settings.py，禁用 DEBUG=True
✅ 敏感信息管理：密钥、API Token 使用环境变量（os.environ.get('SECRET_KEY')），禁止硬编码

12.4.4 总结：构建纵深防御的 Django 应用

Django 的安全优势在于其默认防御的完备性与可扩展防护的灵活性。从模板自动转义、ORM 参数化查询到会话加密与 HTTPS 强制，框架已覆盖 OWASP Top 10 中绝大多数风险点。然而，安全是持续过程而非单次配置：

开发者需理解机制原理：明确何时信任默认行为（如模板转义），何时需主动加固（如 CSP 策略细化）；
安全配置需匹配业务场景：SAMEORIGIN 与 DENY 的权衡、Lax 与 Strict 的 SameSite 选择；
防御需协同外部设施：Web 服务器（Nginx SSL 终止）、CDN（WAF 规则）、云平台（IAM 权限）构成完整防护链。

遵循本文档实践，结合定期渗透测试（如 OWASP ZAP）与代码审计（bandit），可构建符合金融、政务等严苛合规要求的 Django 应用。安全无终点，唯有保持对威胁演进的敏锐，方能在动态攻防中立于不败之地。

作者与出处

原作者：灏天文库

来源：灏天文库

原文： https://aiknowledge.cn/collection/144-django-python-web%E6%A1%86%E6%9E%B6%E5%BC%80%E5%8F%91%E6%95%99%E7%A8%8B

整理：灏天文库整理

由灏天文库平台收录，内容或由平台用户上传，仅供学习交流