شرح أكواد تأمين تطبيقات جانغو Django

يوفر جانغو “Django “ إطار عمل آمنًا لبناء وتطوير تطبيقات الويب. ولكن في مواجهة مجموعة متنوعة من التهديدات، فإن الاعتماد على ميزات الأمان القياسية لجانغو لم يعد كافيًا. من المهم تنفيذ تدابير إضافية لتحسين أمان التطبيق.

يمكن أن يساعد تنفيذ تدابير إضافية في التخفيف من الثغرات الأمنية المحتملة وحماية البيانات الحساسة وحماية تطبيقاتك من التهديدات السيبرانية. يضمن ذلك حماية معلومات المستخدم ويساعد في الحفاظ على سمعة مؤسستك ومصداقيتها.

طريقة تأمين العروض باستخدام المزخرف Decorator في جانغو

تعالج عروض جانغو الطلبات الواردة. هذه هي وظائف بايثون التي تقبل طلبات http وتعيد استجابات http، تمامًا مثل مستندات HTML.

يلعب هذا دورًا مهمًا في تحديد الاستجابة التي سيتلقاها العميل. تتحكم طريقة العرض الآمنة في الوصول وتحمي الوظائف الهامة. كما يوفر جانغو العديد من الإعدادات التي يمكنك تطبيقها على وجهات نظرك لتوفير إجراءات أمنية محددة.

1- @login_required Decorator

يسمح @login_required Decorator للمستخدمين المصرح لهم فقط بالوصول إلى عروض معينة. عندما يحاول مستخدم غير مصادق الوصول إلى العرض، يعيد التطبيق توجيه المستخدم إلى صفحة تسجيل الدخول.

from django.contrib.auth.decorators import login_required
from django.http import HttpResponse

@login_required
def secure_view(request):
 # Your view logic here
 return HttpResponse(“This is a secure view”)

يتحقق تطبيق @login_required Decorator لوظيفة secure_view تلقائيًا من مصادقة المستخدم قبل تنفيذ أي منطق عرض.

2- المزخرفات “Decorators” المخصصة

يسمح لك جانغو بتصميم مزخرفات Decorators خاصة بك. يسمح لك هذا بتنفيذ فحوصات وقيود أمنية إضافية. على سبيل المثال، يمكنك إنشاء مزخرف يقيد الوصول إلى أدوار مستخدم محددة.

from functools import wraps
from django.http import HttpResponse

def admin_only(view_func):
 @wraps(view_func)
 def wrapper(request, *args, **kwargs):
 if request.user.is_superuser:
 return view_func(request, *args, **kwargs)
 else:
 return HttpResponse(“Access Denied”)

return wrapper

(decorator) admin_only يتحقق مما إذا كان المستخدم الذي يصل إلى العرض هو مستخدم متميز. إذا كانت موجودة، فسيتم تشغيل وظيفة العرض، وإلا فسيتم حظر وصول المستخدم.

مصادقة المستخدم والترخيص لتأمين تطبيقات جانغو

مصادقة المستخدم والترخيص من المكونات الأساسية لتأمين تطبيقات جانغو. يضمن ذلك وصول المستخدمين المناسبين إلى ميزات معينة لتطبيقك.

1- مصادقة المستخدم

تتحقق مصادقة المستخدم من هوية الشخص الذي يقوم بالوصول إلى التطبيق. يوفر نظام المصادقة جانغو وظائف لحل هذه المشكلة.

from django.contrib.auth import authenticate, login
from django.http import HttpResponse

def login_view(request):
 if request.method == ‘POST’:
 username = request.POST[‘username’]
 password = request.POST[‘password’]
 user = authenticate(request, username=username, password=password)

if user is not None:
 login(request, user)
 return HttpResponse(“Login successful”)
 else:
 return HttpResponse(“Invalid credentials”)
 else:
 # Render login form
 return HttpResponse(“Login form”)

كما تتولى وظيفة login_view معالجة عملية تسجيل الدخول. بعد أن يرسل المستخدم بيانات الاعتماد الخاصة به، يتم التحقق من صحة بيانات الاعتماد بواسطة المصدق. إذا كانت بيانات الاعتماد صالحة، فإن وظيفة تسجيل الدخول هي

هذا يسمح بالوصول إلى المناطق المحظورة في التطبيق. إذا كانت بيانات الاعتماد غير صحيحة، فلن يُنشئ الرمز المميز جلسة عمل.

2- ترخيص المستخدم

يحدد ترخيص المستخدم الإجراءات التي يمكن للمستخدم تنفيذها في التطبيق. كما يقدم جانغو نظام أذونات مرن يسمح لك بالتحكم في وصول المستخدم.

from django.contrib.auth.decorators import permission_required
from django.http import HttpResponse

@permission_required(‘polls.can_vote’)
def vote(request):
 # Voting logic here
 return HttpResponse(“Vote recorded”)

في المثال أعلاه، يضمن مصمم إذن الإذن أن المستخدمين الذين لديهم أذونات اقتراع فقط يمكنهم الوصول إلى عرض الاقتراع. يتم رفض الوصول إذا حاول المستخدم الوصول إلى طريقة عرض بدون الامتيازات المطلوبة.

طريقة تنفيذ البرمجيات الوسيطة المخصصة

توجد البرامج الوسيطة بين خادم الويب والشاشة. يمكن أن تضيف تطبيقات البرامج الوسيطة المخصصة فحوصات أمنية أو تعدل الطلبات والاستجابات. قد يكون هذا بسبب أشياء مثل الاستخدام الإجباري لـ HTTPS.

from django.http import HttpResponsePermanentRedirect

class EnforceHttpsMiddleware:
 def __init__(self, get_response):
 self.get_response = get_response

def __call__(self, request):
 if not request.is_secure():
 url = request.build_absolute_uri(request.get_full_path())
 secure_url = url.replace(‘http://’, ‘https://’)
 return HttpResponsePermanentRedirect(secure_url)

return self.get_response(request)

تتحقق البرمجيات الوسيطة أعلاه مما إذا كان الطلب يستخدم طريقة is_secure. وإلا فإنه يعيد التوجيه إلى إصدار HTTPS من عنوان URL.

التعامل الآمن مع الملفات

يعد العمل مع الملفات ميزة شائعة لتطبيقات الويب. يشكل خطرًا أمنيًا إذا لم يتم حمايته بشكل صحيح. عند العمل مع الملفات التي تم تحميلها بواسطة المستخدم، من المهم التحقق من صحة محتويات الملف. هذا يمنع التنزيلات الضارة. يمكنك استخدام Django FileExtensionValidator للتحقق من نوع الملف.

from django.core.validators import FileExtensionValidator
from django.forms import forms

class FileUploadForm(forms.Form):
 file = forms.FileField(validators=[FileExtensionValidator(allowed_extensions=[‘pdf’, ‘docx’])])

في مقتطف الشفرة أعلاه، تستخدم فئة FileUploadForm FileExtensionValidator للسماح بتحميل ملفات PDF و DOCX فقط. كما يرفض التطبيق تنسيقات الملفات الأخرى أثناء التنزيل. قم بتخصيص التنسيقات المسموح بها وفقًا لمتطلبات التطبيق الخاص بك.

طريقة تنفيذ حماية CSRF في تطبيقات جانغو

يمكنك استخدام حماية CSRF المدمجة من جانغو لمنع هجمات التزوير عبر المواقع (CSRF). يجب أن يحتوي النموذج على رمز CSRF مميز. تم التحقق من صحة هذا من جانب الخادم.

<form method=”post” action=”/submit-form/”>
 {% csrf_token %}
 <! — Form fields →
 <button type=”submit”>Submit</button>
</form>

عند استخدام نموذج ٪ csrf_token٪، سيستخدم جانغو رمز CSRF لإنشاء حقول إدخال مخفية. هذا الرمز مميز لكل جلسة مستخدم. مفيد للتحقق من صحة النماذج المقدمة.

يتحقق جانب الخادم من رمز CSRF المميز عند معالجة عمليات إرسال النماذج. يُلقي جانغو خطأً محظورًا (HTTP 403) إذا كان الرمز المميز مفقودًا أو غير صالح. من المهم جدًا التأكد من حماية تطبيقك من هذا النوع من الثغرات الأمنية.

طريقة نسخ كود مصدر الصفحة لأي موقع ويب باستخدام فايرفوكس وكروم وإيدج (شرح بالصور)

طريقة كتابة نماذج آمنة

عند إنشاء النماذج، من المهم معالجة إدخال المستخدم بشكل صحيح. يتم ذلك لمنع الثغرات الأمنية الشائعة مثل حقن SQL وهجمات XSS. يوجد أدناه مثال يوضح طريقة إنشاء نموذج آمن في جانغو.

from django import forms
from django.utils.html import escape

class SecureForm(forms.Form):
 name = forms.CharField(max_length=100)
 email = forms.EmailField()

def clean_name(self):
 name = self.cleaned_data[‘name’]

# Sanitize user input
 sanitized_name = escape(name)
 return sanitized_name

def clean_email(self):
 email = self.cleaned_data[‘email’]

# Validate and sanitize user input
 if not email.endswith(‘@example.com’):
 raise forms.ValidationError(“Invalid email domain”)

sanitized_email = escape(email)
 return sanitized_email

تقوم أساليب clean_name و clean_email بالتحقق من صحة إدخال المستخدم وتنظيفه. كما تستخدم طريقة clean_name وظيفة الهروب escaping لتنظيف إدخال الاسم لمنع هجمات XSS المحتملة.

كما تتحقق طريقة clean_email من تنسيق البريد الإلكتروني وتحد من نطاق البريد الإلكتروني إلى example.com. حيث يحدث خطأ في التحقق من الصحة إذا كان البريد الإلكتروني لا يتطابق مع المعايير المحددة. تزيد هذه الخطوة من أمان النموذج وتحميه من الثغرات الأمنية الشائعة.

فهم ثغرات تطبيق الويب أمر مهم

يمكن أن يساعدك فهم الثغرات الأمنية في تطبيقات الويب على حماية تطبيقاتك. يقوم بذلك من خلال المساعدة في تحديد وإصلاح الثغرات الأمنية المحتملة في تطبيقاتك. هذا يقلل بشكل كبير من فرص نجاح الهجوم.