Django 安全策略¶

报告安全问题¶

简而言之：请发送电子邮件至 security@djangoproject.com 报告安全问题。.

Django 中大多数普通的 Bug 都会报告至我们的公开 Trac 实例，但由于安全问题的敏感性，我们要求不要以这种方式公开报告。

相反，如果您认为自己在 Django 中发现了具有安全隐患的问题，请通过电子邮件将问题描述发送至 security@djangoproject.com。发送到该地址的邮件将送达安全团队。

一旦您通过电子邮件提交了问题，您应该会在 3 个工作日内收到安全团队成员的确认。此后，安全团队将开始分析。根据采取的行动，您可能会收到后续邮件。安全团队得出结论可能需要数周时间。除非您发现了新的相关信息，否则无需催促安全团队。所有报告的目标是在行业标准的 90 天内解决。对于具有高严重级别的已确认漏洞，我们将予以迅速处理。

from django.core.mail import send_mail
from django.http import JsonResponse


def my_proof_of_concept(request):
    email = request.GET.get("email", "")
    send_mail("Email subject", "Email body", email, ["admin@example.com"])
    return JsonResponse(status=200)

from django import forms
from django.core.mail import send_mail
from django.http import JsonResponse


class EmailForm(forms.Form):
    email = forms.EmailField()


def my_proof_of_concept(request):
    form = EmailForm(request.GET)
    if form.is_valid():
        send_mail(
            "Email subject",
            "Email body",
            form.cleaned_data["email"],
            ["admin@example.com"],
        )
        return JsonResponse(status=200)
    return JsonResponse(form.errors, status=400)

from django.shortcuts import HttpResponse
from .models import MyModel


def my_proof_of_concept(request):
    query = request.GET.get("query", "")
    q = MyModel.objects.extra(select={"id": query})
    return HttpResponse(q.values())

Django 如何评估报告¶

以下是安全团队在评估报告是否需要发布安全更新时使用的标准

• 漏洞位于 Django 的受支持版本中。

• 漏洞不依赖于依赖 Django 外部代码的手动操作。这包括项目开发者或维护者使用开发工具或 Django CLI 执行的操作。例如，需要使用非正常或不安全选项运行管理命令的攻击不符合条件。

• 漏洞适用于生产级的 Django 应用程序。这意味着以下场景不需要安全发布：

  • 仅影响本地开发环境的漏洞，例如使用 runserver 时。

  • 未能遵循安全最佳实践（如未能清理用户输入）的漏洞利用。有关其他示例，请参阅我们的安全文档。

  • AI 生成的代码中不遵循安全最佳实践的漏洞利用。

安全团队可能会得出结论，认为漏洞的来源位于 Python 标准库中，在这种情况下，我们将要求报告者向 Python 核心团队报告该漏洞。有关更多详情，请参阅 Python 安全指南。

有时，可能会发布安全版本以帮助解决流行的第三方包中的安全漏洞。此类报告应由该包的维护者提交。

如果您不确定您的发现是否符合这些标准，请仍然通过发送电子邮件至 security@djangoproject.com 私下报告。安全团队将审查您的报告并建议正确的处理方案。

受支持版本¶

在任何特定时间，Django 团队都为多个 Django 版本提供官方安全支持

• 托管在 GitHub 上的主要开发分支（即下一个 Django 主要版本）将获得安全支持。仅影响主要开发分支而不影响任何稳定发布版本的安全问题，将在不经过披露流程的情况下公开修复。

• 最近的两个 Django 发布系列获得安全支持。例如，在 Django 1.5 发布前的开发周期中，Django 1.4 和 Django 1.3 将获得支持。Django 1.5 发布后，Django 1.3 的安全支持将结束。

• 长期支持版本将在指定期限内获得安全更新。

当因安全原因发布新版本时，附带的通知将包含受影响版本的列表。此列表仅包含 Django 的受支持版本：旧版本可能也会受到影响，但我们不会进行调查以确定这一点，也不会为这些版本发布补丁或新版本。

安全问题严重级别¶

安全漏洞的严重级别主要由攻击类型决定。Django 安全团队保留根据漏洞的具体特征、上下文及潜在的现实影响来调整严重级别的权力。

严重级别如下：

• 高

  • 远程代码执行

  • SQL 注入

• 中

  • 跨站脚本 (XSS)

  • 跨站请求伪造 (CSRF)

  • 身份验证破坏

• 低

  • 拒绝服务攻击

  • 敏感数据泄露

  • 会话管理破坏

  • 未验证的重定向/转发

  • 需要非正常配置选项的问题

例如，一个由未经身份验证的攻击者可利用、影响默认 Django 配置且导致严重性能下降或服务不可用的拒绝服务漏洞，考虑到其对 Django 生态系统的潜在影响，可能会被提升为中。

Django 如何披露安全问题¶

我们将安全问题从私下讨论转为公开披露的过程涉及多个步骤。

在公开披露前约一周，我们会发出两项通知

首先，我们通知 django-announce 即将发布的安全版本的日期和大概时间，以及问题的严重程度。这是为了帮助需要确保有人员能够处理我们的通知公告并按需升级 Django 的组织。

其次，我们通知一份人员和组织名单，名单主要由操作系统供应商和其他 Django 分发商组成。这封邮件由 Django 发布团队某成员的 PGP 密钥签名，内容包括：

• 问题的完整描述及受影响的 Django 版本。

• 我们将采取的补救措施。

• 将应用于 Django 的补丁（如有）。

• Django 团队应用这些补丁、发布新版本并公开披露问题的日期。

在披露当天，我们将执行以下步骤

1. 将相关补丁应用于 Django 代码库。

2. 发布相关版本，方法是将新软件包上传至 Python 包索引 (PyPI) 和 djangoproject.com 网站，并在 Django 的 git 仓库中为新版本打上标签。

3. 在 Django 官方开发博客上发布公告，详细描述问题及其解决方案，指向相关补丁和新版本，并对问题报告者表示感谢（如果报告者希望公开身份）。

4. 向 django-announce 和 oss-security@lists.openwall.com 邮件列表发布通知，并提供指向博客文章的链接。

如果一个被报告的问题被认为具有极高的时效性（例如，由于存在已知的野外利用），提前通知与公开披露之间的时间可能会被大幅缩短。

此外，如果我们有理由相信报告给我们的问题影响了 Python/Web 生态系统中的其他框架或工具，我们可能会私下联系并与相关的维护者讨论这些问题，并协调我们的披露和解决流程。

Django 团队还维护着一份Django 中已披露安全问题的存档。

谁会收到提前通知¶

收到安全问题提前通知的人员和组织完整名单不会也永远不会公开。

我们还旨在尽可能缩小此名单，以便在披露前更好地管理机密信息的流动。因此，我们的通知名单不是简单的 Django 用户列表，仅作为 Django 用户并不足以成为进入通知名单的理由。

广义上，安全通知的接收者属于三类

1. 操作系统供应商和其他 Django 分发商，他们提供了通用的联系地址（即不是个人的电子邮箱地址）用于报告其 Django 包中的问题或进行常规安全报告。无论哪种情况，此类地址绝对不得转发到公共邮件列表或 Bug 追踪系统。转发到个人维护者或安全响应联系人私人邮箱的地址是可以接受的，尽管更强烈建议使用私有的安全追踪系统或安全响应组。

2. 按具体情况而定，已证明致力于响应并负责任地处理这些通知的独立包维护者。

3. 按具体情况而定，其他经 Django 开发团队判断需要获知待定安全问题的实体。通常，该组成员由一些 Django 的已知大型用户和/或最可能受到严重影响的分发商组成，并且需要具备负责任地接收、保密并根据这些通知采取行动的能力。

请求通知¶

如果您认为您或您有权代表的组织属于上述组别之一，您可以发送电子邮件至 security@djangoproject.com 请求加入 Django 的通知名单。请使用主题行“Security notification request”。

您的请求必须包括以下信息

• 您的真实全名、所代表的组织名称（如果适用），以及您在该组织中的角色。

• 关于您或您的组织如何符合上述至少一套标准的详细说明。

• 关于您请求安全通知原因的详细说明。请再次记住，这不是简单的 Django 用户列表，绝大多数用户应该订阅 django-announce 来接收关于何时会进行安全发布的预告（不含具体问题细节），而不是请求详细的通知。

• 您希望添加到我们通知名单的电子邮箱地址。

• 关于谁将接收/审查发送到该地址的邮件的说明，以及关于将采取的任何自动化操作的信息（例如，在 Bug 追踪系统中归档机密问题）。

• 对于个人，请提供一个与您的地址关联的公钥 ID，以便在必要时验证您发送的邮件并对发送给您的邮件进行加密。

提交后，您的请求将由 Django 开发团队审议；您将在 30 天内收到告知结果的回复。

还请记住，对于任何个人或组织，接收安全通知是一项由 Django 开发团队全权酌情授予的特权，该特权可在任何时候被撤销，且无需说明原因。