Django کون سے سیکیورٹی تحفظات فراہم کرتا ہے؟

Question

Accepted Answer

Django عام ویب کمزوریوں (OWASP Top 10) کے خلاف مضبوط **بلٹ ان تحفظات** فراہم کرتا ہے — سیکیورٹی ایک بنیادی ڈیزائن ترجیح ہے، اور بہت سی حفاظتیں ڈیفالٹ کے طور پر فعال ہوتی ہیں۔ انہیں سمجھنا محفوظ ایپلیکیشنز بنانے اور غیر ارادی طور پر ان حفاظتوں کو غیر فعال کرنے سے بچنے کے لیے ضروری ہے۔ ## 1. SQL Injection — ORM کے ذریعے روکا گیا ```python # ✅ the ORM uses PARAMETERIZED queries automatically — safe by default User.objects.filter(username=user_input) # input is never executable SQL # ⚠️ raw SQL CAN be vulnerable — always parameterize: User.objects.raw("SELECT * FROM users WHERE name = %s", [user_input]) # ✅ parameterized # NEVER: f"SELECT ... WHERE name = '{user_input}'" ❌ injectable ``` ORM تمام queries کو parameterize کرتا ہے، SQL injection کو ڈیفالٹ کے طور پر روکتے ہوئے — کمزوریوں کی ایک بڑی کلاس ختم ہو جاتی ہے جب تک آپ غیر محفوظ raw SQL نہ لکھیں۔ ## 2. XSS (Cross-Site Scripting) — ٹیمپلیٹ خودکار escaping ```html {{ user_input }} {{ trusted|safe }} ``` Django ٹیمپلیٹس ڈیفالٹ طور پر متغیر آؤٹ پٹ کو **خودکار طور پر escape** کرتے ہیں، injected HTML/scripts کو غیر فعال کرتے ہوئے — بلٹ ان XSS تحفظ۔ ## 3. CSRF (Cross-Site Request Forgery) — ٹوکن حفاظت ```html ``` CSRF middleware state-changing requests (POST/PUT/DELETE) پر ایک ٹوکن کی ضرورت ہے، دوسری سائٹس سے forged requests کو روکتے ہوئے۔ ## 4. Clickjacking — X-Frame-Options ```python # XFrameOptionsMiddleware (default) sends X-Frame-Options: DENY # → prevents your site from being embedded in a malicious

Django کون سے سیکیورٹی تحفظات فراہم کرتا ہے؟

1. SQL Injection — ORM کے ذریعے روکا گیا

2. XSS (Cross-Site Scripting) — ٹیمپلیٹ خودکار escaping

3. CSRF (Cross-Site Request Forgery) — ٹوکن حفاظت

4. Clickjacking — X-Frame-Options

5. محفوظ پاس ورڈ ہینڈلنگ

6. HTTPS / ٹرانسپورٹ سیکیورٹی (پروڈکشن سیٹنگز)

اہم ذمہ داری: ڈیفالٹس کو کمزور نہ کریں

اس سے کیوں فرق پڑتا ہے