django-security

用途：面向 Django 应用的安全加固与审查，适用于配置认证授权、实现用户权限与角色、审查安全问题、部署到生产环境等场景。\n\n主要能力：提供生产环境核心安全配置，如 DEBUG=False、ALLOWED_HOSTS、HTTPS 与安全 Cookie、HSTS、SECRET_KEY 必须经环境变量注入，以及密码校验器（最小长度 12）；认证方面支持自定义用户模型（以邮箱登录）、PBKDF2/Argon2 密码哈希与会话管理；授权方面含模型权限、Django 视图的 LoginRequiredMixin/PermissionRequiredMixin、DRF 自定义权限类与基于角色的访问控制。\n\n防护要点：SQL 注入方面强调使用 ORM，raw() 必须使用 %s 参数化，禁止字符串拼接；XSS 方面依赖模板默认转义，|safe 仅用于可信内容，配合 escapejs、format_html；CSRF 默认开启，模板加 {% csrf_token %}，AJAX 需携带 X-CSRFToken，csrf_exempt 仅在必要时使用；文件上传需校验扩展名与大小；API 可配置限流速率与认证类；另含 CSP 等安全响应头、环境变量管理密钥、安全事件日志与安全检查清单。\n\n限制：资料未提供具体安装命令、版本要求、收费信息或工具形态说明，相关事实暂未提供。