Django HttpResponseRedirect 是否遭受 xss 攻击？

Question

作为标题，由于urlpatterns设置了数字参数，我倾向于认为HttpResponseRedirect不会受到xss攻击，对吗？

如果不是，HttpResponseRedirect 是如何受到影响的？

urls.py

from django.urls import path
from hello import views

app_name = 'hello'
urlpatterns = [
    path("", views.home, name="home"),
    # ex: /hello/5/
    path('<int:question_id>/', views.detail, name='detail'),
    path('<int:question_id>/results/', views.results, name='results'),
]

views.py

def detail(request, question_id):
    return HttpResponseRedirect(reverse('hello:results', args=(question.id,)))

Answer 1

Django 通常是默认安全的框架，这意味着它不应该受到最常见的攻击（例如 XSS、SQLi 等）的攻击。

只要你不使用mark_safe() 方法(reference) 或safe 模板标签(<span id="search-query" >You searched for {{ query | safe }}</span>) 你应该可以免受XSS 攻击等，因为Django 会自动转义危险的字符串。

在您的特殊情况下，XSS 是不可能的，因为您的 URL 仅接受整数（据我了解，它仅在浏览器中显示问题的 ID）。

综上所述，对于 Django 中的 XSS，您必须使用 {{ something | safe }} 模板标签，并将带有恶意 XSS 负载的字符串加载到 HTML 模板中。