用途：在识别到目标使用 Python/Django（csrftoken cookie、/admin/ 登录页、DRF 可浏览 API、__debug__toolbar 等）后，针对 Django 特有攻击面开展安全测试，覆盖 admin 后台、ORM 查询、DRF 序列化器、Channels WebSocket 与 Celery 任务队列。
主要能力与用法：一是 DRF 权限缺口，对比 list、retrieve、me 及自定义 @action 端点（如 export、bulk、stats 等）的权限差异，测试未授权访问。二是 ORM 注入，测试 raw()、extra()、RawSQL 注解及 cursor.execute() 拼接用户输入的场景，例如在搜索参数中注入 UNION SELECT。三是模板注入，验证 mark_safe、|safe 过滤器和用户可控模板名是否形成执行点。四是 Admin 后台，探测 /admin/ 等路径，分析会话 cookie（base64+zlib 解码），并在授权范围内测试常见弱口令。五是 SECRET_KEY 泄露后可用 TimestampSigner 伪造签名 cookie。六是 Channels WebSocket，测试其认证是否与 REST 对等。
限制与注意事项：DRF AllowAny 不等于配置错误，需先确认端点本就应公开；admin 爆破会留下大量日志，生产目标慎用；模板注入必须有明确 sink，Django 默认自动转义；SECRET_KEY 必须真实泄露，暴力猜测不可行。验证标准包括未授权返回受限数据、SQL 报错或数据外泄、cookie 成功解码、模板注入执行 JS 或读取服务器文件。资料未提供具体安装命令、版本要求、收费与价格信息。