用途：为 Django 应用提供安全最佳实践指引，覆盖认证授权、常见漏洞防护与生产部署配置，适合在搭建登录权限、配置生产设置、审查安全问题或部署上线时启用。
主要能力：
- 生产安全设置：DEBUG=False、ALLOWED_HOSTS、SECRET_KEY 环境变量校验、HSTS、SSL 重定向、安全 Cookie（Secure、HttpOnly、SameSite）、X_FRAME_OPTIONS、内容类型嗅探防护，以及密码校验器（最小长度 12 等）。
- 认证：自定义用户模型（以 email 为 USERNAME_FIELD）、密码哈希（Argon2、PBKDF2、BCrypt）、会话管理配置。
- 授权：模型级权限、LoginRequiredMixin/PermissionRequiredMixin、DRF 自定义权限类（IsOwnerOrReadOnly、IsAdminOrReadOnly、IsVerifiedUser）、基于角色的访问控制（RBAC）与 Mixin。
- 注入与 XSS 防护：使用 ORM 或 raw() 参数化查询，禁止字符串拼接；模板默认自动转义，谨慎使用 |safe，配合 escape、striptags、escapejs、format_html。
- CSRF：默认启用，模板使用 {% csrf_token %}，AJAX 通过 X-CSRFToken 头传递，谨慎使用 @csrf_exempt。
- 文件上传：校验扩展名与大小（示例上限 5MB），媒体文件独立域名或对象存储。
- API 安全：DRF 限流（匿名/用户/上传速率）、Token/Session/JWT 认证与默认权限类。
- 其他：CSP 中间件、环境变量管理密钥（django-environ）、安全事件日志、安全检查清单。
使用方式：将上述配置写入 settings（如 production.py）、模型、视图与中间件中，按需启用对应设置与校验器。
限制：资料未提供安装命令、版本要求、收费信息或具体平台支持；示例中的域名、路径、速率与密钥均为占位值，需按实际环境替换。