用途：面向 Django 应用的全面安全实践指南，用于配置身份验证与授权、实现用户权限与角色、审查安全问题，以及部署到生产环境时加固配置。
主要能力： 生产配置：DEBUG = False、ALLOWED_HOSTS、SECRET_KEY 通过环境变量读取，并启用 SECURE_SSL_REDIRECT、SESSION_COOKIE_SECURE、CSRF_COOKIE_SECURE、SECURE_HSTS_SECONDS 等安全响应头与 Cookie 设置。 身份验证：自定义用户模型（AUTH_USER_MODEL）、密码校验器（含最小长度 12）、可切换 Argon2 等密码哈希、会话管理。 授权：模型权限、LoginRequiredMixin/PermissionRequiredMixin、DRF 自定义权限类、基于角色的访问控制（RBAC）与 Mixin。 注入与 XSS：推荐使用 ORM 与参数化查询，raw() 需用 %s 占位；模板默认自动转义，避免对用户输入直接使用 safe 或 mark_safe，可用 escape、format_html、escapejs。 CSRF：{% csrf_token %} 与 AJAX 携带 X-CSRFToken；csrf_exempt 仅在必要时使用。 其他：文件上传扩展名与大小校验、API 频率限制与认证、CSP 响应头、环境变量管理密钥、安全日志配置。
使用方式：按文中 settings 与代码示例调整项目配置，并参考快速安全检查清单逐项核对。
限制：安全需持续审查与更新；具体收费、平台与效果暂未提供。