用途：为 Django 应用提供安全实践指南，覆盖认证授权、常见漏洞防护与生产部署配置，适合在搭建登录权限、配置生产安全项、审查安全问题或部署上线时参考。
主要能力：生产配置方面，强调 DEBUG=False、通过环境变量设置 SECRET_KEY、ALLOWED_HOSTS、强制 HTTPS 与安全 Cookie、HSTS、X_FRAME_OPTIONS 等安全头，并启用密码校验器。认证方面，介绍自定义用户模型、Argon2 等密码哈希与 Session 管理。授权方面，涵盖模型权限、PermissionRequiredMixin、DRF 自定义权限类及基于角色的访问控制。漏洞防护方面，说明用 ORM 或参数化 raw() 防 SQL 注入、模板自动转义与 escapejs 防 XSS、CSRF 令牌与 AJAX 请求头、文件扩展名与大小校验。API 方面，给出限流、认证类与权限类配置。此外还涉及 CSP、环境变量管理与安全日志。
使用方式：按需将示例配置写入 settings、models、views 或中间件，例如生产设置中设置 DEBUG = False、SECURE_SSL_REDIRECT = True、SESSION_COOKIE_SECURE = True，模板表单加入 {% csrf_token %}，AJAX 请求携带 X-CSRFToken 头。
适用场景：Django 项目安全加固、上线前检查、代码安全审查。
限制：资料为通用实践建议，未提供具体版本兼容性、性能影响或第三方依赖安装说明；示例需结合项目实际调整，csrf_exempt 等应谨慎使用。