python - 确保在 Django 项目中安全加载 JSON、XML 和 YAML

Question

我正在维护一个生产 Django 1.5 应用程序。

最近有很多关于与加载 JSON、XML 和 YAML 对象相关的各种漏洞的噪音。如果我理解正确，输入是精心设计的，以利用加载函数中的错误。

现在，我不知道 Django(或我们使用的许多第三方应用程序)在哪里使用这些协议(protocol)。我怎样才能避免此类漏洞？我是否需要以某种方式确保 Django 正在安全地加载 JSON、XML 和 YAML？

Answer 1

默认情况下，Django 不接受这些格式的用户编码输入，通常第三方应用程序也不接受，但值得审核面向用户的部分以确保。大的将成为 API 提供者(Tastypie、Django REST Framework 等)。如果您使用的是当前版本，您应该是安全的，但值得测试/确认。

如果您在应用中加载这些格式的任何内容，请务必使用 defusedxml和 YAML safe_load方法。标准库 json 模块应该不会受到此类攻击。