Django Bad Practices: Attributes in Deny List

应用程序使用拒绝列表来控制表单所显示的属性。当添加新属性时开发人员可能会忘记更新拒绝列表，也可能会不小心将敏感字段暴露给攻击者。

应用程序使用 exclude 拒绝列表。这很难维护，而且容易出错。如果开发人员向表单或备份表单的 Model 添加新字段，并忘记了更新 exclude 筛选器，则可能会向攻击者暴露敏感字段。攻击者将能够向任何未排除的字段提交和恶意绑定数据。

示例 1：以下表单显示了一些 User 属性，但对以下用户 id 检验了拒绝列表：

from myapp.models import User
...
class UserForm(ModelForm):
  class Meta:
    model = User
    exclude = ['id']
...

如果使用新的 role 属性更新了 User 模型，但未更新相关联的 UserForm，则 role 属性将显示在表单中。