29、Django安全与部署全解析

Django安全与部署全解析

1. 常见安全漏洞及解决方法

1.1 Email Header Injection

Email Header Injection 是一种不太知名但同样危险的攻击方式，类似于 SQL 注入，它主要针对发送邮件的 Web 表单。攻击者可以利用此技术通过你的邮件服务器发送垃圾邮件。

攻击原理

许多网站的联系表单允许用户输入邮件主题、发件人地址、邮件正文等信息。如果在构建邮件头时没有对用户输入进行转义处理，攻击者可以提交包含换行符的恶意内容，从而构造恶意邮件头。

例如，攻击者提交 “hello\ncc:spamvictim@example.com”，构造的邮件头将变为：

To: hardcoded@example.com
Subject: hello
cc: spamvictim@example.com

解决方法

和防止 SQL 注入一样，始终对用户提交的内容进行转义或验证。Django 的内置邮件函数（在 django.core.mail 中）不允许在用于构造邮件头的任何字段（如“发件人”和“收件人”地址以及主题）中包含换行符。如果尝试使用包含换行符的主题调用 django.core.mail.send_mail，Django 将引发 BadHeaderError 异常。

如果你不使用 Django 的内置邮件函数发送邮件，需要确保邮件头中的换行符会导致错误或被去除。可以查看 django.core.mail 中的 SafeMIMEText