Djangoは、一般的なウェブ脆弱性（OWASP Top 10）に対して強力な組み込み保護を提供しています。セキュリティはコア設計の優先事項であり、多くの保護がデフォルトで有効になっています。セキュアなアプリケーションを構築し、これらのセーフガードを誤って無効化しないためには、これらを理解することが重要です。
# ✅ the ORM uses PARAMETERIZED queries automatically — safe by default
User.objects.filter(username=user_input) # input is never executable SQL
User.objects.raw(, [user_input])
ORMはすべてのクエリをパラメータ化しており、デフォルトでSQLインジェクションを防止しています。これは安全でないraw SQLを書かない限り、脆弱性の大きなカテゴリが排除されることを意味します。
{{ user_input }} <!-- AUTO-ESCAPED: <script> → <script> → safe -->
{{ trusted|safe }} <!-- opt out ONLY for content you fully trust -->
Djangoテンプレートはデフォルトで変数出力を自動エスケープし、注入されたHTML/スクリプトを無効化します。これは組み込みのXSS保護です。
<form method="post">
{% csrf_token %} <!-- REQUIRED — Django validates this token on POST -->
...
</form>
CSRFミドルウェアは、状態変更リクエスト（POST/PUT/DELETE）にトークンを要求し、他のサイトからの偽造リクエストをブロックします。
# XFrameOptionsMiddleware (default) sends X-Frame-Options: DENY
# → prevents your site from being embedded in a malicious <iframe>
# passwords are HASHED with strong algorithms (PBKDF2 by default), never plaintext
user.set_password(raw_password) # hashes automatically
# + password validators enforce strength (length, common-password checks)
# settings.py — enable these in production
SECURE_SSL_REDIRECT = True # force HTTPS
SESSION_COOKIE_SECURE = True # cookies only over HTTPS
CSRF_COOKIE_SECURE = True
SECURE_HSTS_SECONDS = 31536000 # HSTS — enforce HTTPS
SECURE_CONTENT_TYPE_NOSNIFF = True
⚠️ DEBUG = False in production — DEBUG=True leaks tracebacks, settings, source paths
⚠️ Keep SECRET_KEY secret (env vars, not code) — it signs sessions/tokens
⚠️ Set ALLOWED_HOSTS to prevent Host-header attacks
⚠️ Don't use |safe or mark_safe on untrusted input (reopens XSS)
⚠️ Always validate/sanitize input; use Django forms/serializers
⚠️ Run `python manage.py check --deploy` to audit production security settings
セキュリティはあらゆるウェブアプリケーションにとって重要であり、Djangoの組み込み保護を理解することは、それらを活用するためにも意図せずに損なわないためにも不可欠です。Djangoの強力なセキュリティデフォルトは、真摯なアプリケーションで信頼される主な理由ですが、これらを理解して尊重しない限り保護は機能しません。
Djangoはもっとも一般的で危険なウェブ脆弱性に対応しています。デフォルトで以下が行われます：ORMはSQLインジェクションをパラメータ化クエリで防止し、テンプレート自動エスケープはXSSを防止し、CSRFミドルウェアはクロスサイトリクエストフォージェリを防止し、クリックジャッキング保護が組み込まれ、パスワードはセキュアにハッシュ化されています。これにより、開発者が手動で処理する必要がある（そして多くの場合、間違える）脆弱性の全カテゴリが排除されます。これはセキュリティを重視していないフレームワークではできないことです。
これらの保護が存在することを知ることは重要です。また、正しく設定すること（特にHTTPS、セキュアcookie、HSTSの本番環境セキュリティ設定）、そして——重要なこと——デフォルト設定を誤って無効化しないことが必要です：Djangoのセキュリティ障害は、デフォルト設定を損なうことから生じることがほとんどです。例えば、本番環境でDEBUG=Trueのままにする（機密のトレースバックと設定を攻撃者に漏らす）、SECRET_KEYをコミットする、信頼できない入力に対して|safe/mark_safeを使用する（XSSを再度開く）、パラメータ化されていないraw SQLを書く（インジェクションを再度開く）、ALLOWED_HOSTSを誤って設定するなどです。
Djangoが提供する保護を知ること、セキュアな本番環境設定の構成方法、デフォルト設定を弱体化させないという責任（プラスcheck --deployを使用した監査）を理解することは、セキュアなアプリケーション構築の基本です。
ウェブアプリケーションは常に攻撃の対象であり、セキュリティ障害は壊滅的なものになる可能性があるため（データ漏洩、アカウント侵害）、Djangoのセキュリティモデル——自動的に何を保護し、それらの保護を維持するための責任は何か——を理解することは本質的で、高いリスクのある知識です。これは専門的でセキュリティを意識した開発を反映しており、本番アプリケーションでは頻繁に、重要なトピックです。