Django มีการป้องกันด้านความปลอดภัยอะไรบ้าง?

Question

Accepted Answer

Django มี **การป้องกันในตัว** ที่แข็งแกร่งต่อช่องโหว่เว็บที่พบบ่อย (OWASP Top 10) — ความปลอดภัยเป็นเป้าหมายหลักของการออกแบบ และการป้องกันหลายอย่างเปิดใช้งานโดยปริยาย การเข้าใจมันเป็นสิ่งจำเป็นสำหรับการสร้างแอปพลิเคชันที่ปลอดภัยและการไม่ปิดการป้องกันเหล่านี้โดยไม่ตั้งใจ ## 1. SQL Injection — ป้องกันโดย ORM ```python # ✅ the ORM uses PARAMETERIZED queries automatically — safe by default User.objects.filter(username=user_input) # input is never executable SQL # ⚠️ raw SQL CAN be vulnerable — always parameterize: User.objects.raw("SELECT * FROM users WHERE name = %s", [user_input]) # ✅ parameterized # NEVER: f"SELECT ... WHERE name = '{user_input}'" ❌ injectable ``` ORM ทำ parameterize ทุก query ป้องกัน SQL injection โดยปริยาย — ขจัดช่องโหว่ประเภทใหญ่ ๆ ไปเว้นแต่คุณจะเขียน raw SQL ที่ไม่ปลอดภัย ## 2. XSS (Cross-Site Scripting) — auto-escape ของ template ```html {{ user_input }} {{ trusted|safe }} ``` template ของ Django **auto-escape** ค่าที่ output โดยปริยาย ทำให้ HTML/script ที่ถูกแทรกเข้ามาเป็นกลาง — การป้องกัน XSS ในตัว ## 3. CSRF (Cross-Site Request Forgery) — การป้องกันด้วย token ```html ``` CSRF middleware กำหนดให้ต้องมี token บน request ที่เปลี่ยนสถานะ (POST/PUT/DELETE) บล็อก request ปลอมจากเว็บไซต์อื่น ## 4. Clickjacking — X-Frame-Options ```python # XFrameOptionsMiddleware (default) sends X-Frame-Options: DENY # → prevents your site from being embedded in a malicious

Django มีการป้องกันด้านความปลอดภัยอะไรบ้าง?

1. SQL Injection — ป้องกันโดย ORM

2. XSS (Cross-Site Scripting) — auto-escape ของ template

3. CSRF (Cross-Site Request Forgery) — การป้องกันด้วย token

4. Clickjacking — X-Frame-Options

5. การจัดการรหัสผ่านอย่างปลอดภัย

6. HTTPS / ความปลอดภัยในการรับส่งข้อมูล (production settings)

ความรับผิดชอบสำคัญ: อย่าทำลายค่าปริยาย

ทำไมจึงสำคัญ