django-security

原文涵盖的主题

• Django セキュリティベストプラクティス
• いつ有効化するか
• 核となるセキュリティ設定
• 本番設定の構成
• 認証
• カスタムユーザーモデル
• パスワードハッシング
• セッション管理

一般的な脆弱性から保護するためのDjangoアプリケーションの包括的なセキュリティガイドライン。 Django認証と認可を設定するとき ユーザー権限とロールを実装するとき 本番セキュリティ設定を構成するとき Djangoアプリケーションのセキュリティ問題をレビューするとき Djangoアプリケーションを本番環境にデプロイするとき | チェック | 説明 | |-------|-------------| | DEBUG = False | 本番環境でDEBUGを決して実行しない | | HTTPSのみ | SSLを強制、セキュアクッキー | | 強力なシークレット | SECRETKEYに環境変数を使用 | | パスワード検証 | すべてのパスワードバリデータを有効化 | | CSRF保護 | デフォルトで有効、無効にしない | | XSS防止 | Djangoは自動エスケープ、ユーザー入力で \|safe を使用しない | | SQLインジェクション | ORMを使用、クエリで文字列を連結しない | | ファイルアップロード | ファイルタイプとサイズを検証 | | レート制限 | APIエンドポイントをスロットル | | セキュリティヘッダー | CSP、X-Frame-Options、HSTS | | ログ記録 | セキュリティイベントをログ | | 更新 | DjangoとDependenciesを最新に保つ | 覚えておいてください: セキュリティは製品ではなく、プロセスです。定期的にセキュリティプラクティスをレビューし、更新してください。