15、Django 安全与生产环境部署全解析

Django 安全与生产环境部署全解析

1. Django 安全局限性与应对策略

在使用 Django 时，并非所有场景它都能完美应对。有时候，由于 Django ORM 的局限性，人们可能需要使用原生 SQL。例如，查询集的 extra() 方法中的 where 子句允许使用原生 SQL，但这种 SQL 代码不会对 SQL 注入进行转义处理。

当使用低级数据库操作（如 execute() 方法）时，建议传递绑定参数，而不是自己拼接 SQL 字符串。即便如此，也强烈建议检查每个标识符是否已正确转义。如果使用第三方数据库 API（如 MongoDB），则需要手动检查 SQL 注入问题，理想情况下，应仅使用经过彻底清理的数据。

2. 点击劫持攻击与 Django 防护

点击劫持是一种误导用户的手段，让用户在浏览器中本想点击某个东西时，却点击了隐藏的链接或按钮。通常是通过在用户可能点击的虚拟网页上放置一个包含目标网站的不可见 IFRAME 来实现。

Django 通过中间件保护网站免受点击劫持。默认情况下， django.middleware.clickjacking.XFrameOptionsMiddleware 中间件会包含在设置文件的 MIDDLEWARE_CLASSES 中。它通过为每个传出的 HttpResponse 设置 X-Frame-Options 头为 SAMEORIGIN 来工作。大多数