Django 安全配置(setting.py)詳解

時間 2019-11-08

標籤 django 安全配置 setting.py setting 詳解欄目 Python 简体版

原文原文鏈接

Django 安全配置(setting.py)詳解

標籤（空格分隔）： python django web安全html

---

1. 必須配置:

0x01. PASSWORD_HASHER

這個配置是在使用Django自帶的密碼加密函數的時候會使用的加密算法的列表.默認以下:python

PASSWORD_HASHERS = (
    'django.contrib.auth.hashers.PBKDF2PasswordHasher',
    'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',
    'django.contrib.auth.hashers.BCryptSHA256PasswordHasher',
    'django.contrib.auth.hashers.BCryptPasswordHasher',
    'django.contrib.auth.hashers.SHA1PasswordHasher',
    'django.contrib.auth.hashers.MD5PasswordHasher',
    'django.contrib.auth.hashers.CryptPasswordHasher',
)

默認使用第一個條目的加密算法,即PBKDF2算法.
因此在使用make_password,check_password,is_password_unable等密碼加解密函數的時候,須要添加這個list在setting.py文件中,推薦使用默認配置的算法.
相關連接:
https://docs.djangoproject.com/en/1.8/ref/settings/#password-hashers
https://docs.djangoproject.com/en/1.8/topics/auth/passwords/git

0x02. ADMINS

ADMINS是一個二元元組,記錄開發人員的姓名和email，當DEBUG爲False而views發生異常的時候發email通知這些開發人員.類如:github

(('John', 'john@example.com'), ('Mary', 'mary@example.com'))

0x03. ALLOWED_HOSTS

ALLOWED_HOSTS是爲了限定請求中的host值,以防止黑客構造包來發送請求.只有在列表中的host才能訪問.強烈建議不要使用*通配符去配置,另外當DEBUG設置爲False的時候必須配置這個配置.不然會拋出異常.配置模板以下:算法

ALLOWED_HOSTS = [
    '.example.com',  # Allow domain and subdomains
    '.example.com.',  # Also allow FQDN and subdomains
]

0x04. DEBUG

DEBUG配置爲True的時候會暴露出一些出錯信息或者配置信息以方便調試.可是在上線的時候應該將其關掉，防止配置信息或者敏感出錯信息泄露.數組

DEBUG = False

相關連接:
https://docs.djangoproject.com/en/1.8/ref/settings/#std:setting-DEBUG安全

0x05. INSTALLED_APPS

INSTALLED_APPS是一個一元數組.裏面是應用中要加載的自帶或者本身定製的app包路徑列表.cookie

INSTALLED_APPS = [
    'anthology.apps.GypsyJazzConfig',
    # ...
]

0x06. MANAGERS

和ADMINS相似,而且結構同樣,當出現'broken link'的時候給manager發郵件.
相關連接:
https://docs.djangoproject.com/en/1.8/ref/settings/#std:setting-MANAGERS

0x07. MIDDLEWARE_CLASSES

web應用中須要加載的一些中間件列表.是一個一元數組.裏面是django自帶的或者定製的中間件包路徑,以下：

MIDDLEWARE_CLASSES = (
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.auth.middleware.SessionAuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    'django.middleware.security.SecurityMiddleware',
)