Django设置DEBUG=True的安全问题

前言

虽然网上其他文章有介绍使用DEBUG=False与True 的基本区别，比如说在DEBUG=True时候，“在浏览器中和控制台会打印出错信息”，“有很大的安全隐患”。但你也不知道它打印了什么信息，有什么样的安全隐患。

模拟接口

简单的请求判断

def reset_coverage(request):
    if request.method == "POST":
         ......
         

这个接口是post请求，我们使用了get请求模拟

结果

使用DEBUG=False时的响应，只有“Server Error” 提示

使用DEBUG=True是的响应，有以下的信息：

看得出是一个html，可以保存这段本文为DEBUG_demo.html页面。也可以使用浏览器直接get请求。
在页面上也可以看到我的报错文件路径：

在这个meta下面还可以看到我这个接口请求的服务端ip+端口

更重要的是完全的暴露了setting的配置

除了官方给的一些关键字会给加*号，其他的都完全的展示了

比如我的数据库配置，pass关键字，被加*号

总结

DEBUG= True 提供了很好的定位问题模式，同时也会带来比较严重的安全问题。主要有该请求的元数据信息，以及你的django setting的配置信息。