django 默认不实现内容安全策略吗？答案

【问题标题】：Doesn't django implement Content Security Policy by default?django 默认不实现内容安全策略吗？
【发布时间】：2021-06-16 23:36:02
【问题描述】：

在一个 RoR 项目中，我在主 html 文件中有 <%= csp_meta_tag %>。

我试图用我在 RoR 的知识在 Django 中构建一个概念应用程序，但是在搜索 Django Content Security Policy 时，只出现一个扩展名 (https://django-csp.readthedocs.io/en/latest/)。

没有关于该主题的文档，所以 Django 是否有可能默认不解决这个常见的安全问题？

另外，我只发现了this SO 问题。

【问题讨论】：

【解决方案1】：

还有django-security package，但supports not all 现有CSP 令牌和指令。

我认为 Python 程序员只是使用HttpResponse object 来做一些简单的事情，比如发出 CSP HTTP 头。

但有趣的是，Django 有内置的中间件来管理X-Frame-Options header，而 CSP 没有类似的。
并且删除长期不受支持的 X-XSS-Protection 标头仅在 Django 4.0 中为 planned。

【讨论】：