Django Bad Practices: Attributes in Deny List

アプリケーションは拒否リストを使用し、フォームで表示される属性を制御します。開発者は新しい属性を追加するとき拒否リストの更新を忘れることがあり、誤って機密フィールドを攻撃者にさらすことがあります。

このアプリケーションは exclude 拒否リストを使用します。これでは保守管理が難しく、間違いが発生しやすくなります。開発者がフォームまたはフォームをバックアップする Model に新しいフィールドを追加するとき、exclude フィルターの更新を忘れると、機密フィールドを攻撃者にさらすことになります。攻撃者は悪意のあるデータを送信し、除外されていないフィールドにバインドできます。

例 1: 次のフォームは一部の User 属性を開示しますが、ユーザー id について拒否リストをチェックします。

from myapp.models import User
...
class UserForm(ModelForm):
  class Meta:
    model = User
    exclude = ['id']
...

User モデルが新しい role 属性で更新され、関連付けられている UserForm が更新されない場合、role 属性はフォームに表示されます。