django如何防止源码泄露(2023年最新解答)

发布网友 发布时间：2024-09-30 11:55

我来回答

共1个回答

热心网友 时间：2024-10-08 04:36

导读：很多朋友问到关于django如何防止源码泄露的相关问题，本文首席CTO笔记就来为大家做个详细解答，供大家参考，希望对大家有所帮助！一起来看看吧！

/*******************connect()*********************/

//设置服务器地址结构，准备连接到服务器

memset(server_addr,0,sizeof(server_addr));

server_addr.sin_family=AF_INET;

server_addr.sin_port=htons(PORT);

server_addr.sin_addr.s_addr=htonl(INADDR_ANY);

server_addr.sin_addr.s_addr=inet_addr(argv[1]);

err=connect(sockfd,(structsockaddr*)server_addr,sizeof(server_addr));

if(err==0)

{

printf("client:connecttoserver\n");

}

else

{

printf("client:connecterror\n");

return-1;

}

//与服务器端进行通信

memset(recvline,0,sizeof(recvline));

if((n=read(sockfd,recvline,Buflen))0)

{

recvline[n]=0;

printf("%s",recvline);

}

write(sockfd,cmd,strlen(cmd));//这里相当于在pyth.py的标准输入上输入数据

while((n=read(sockfd,recvline,Buflen))0)

{

recvline[n]='\0';

printf("%s",recvline);

}

close(sockfd);

}

编写服务端tcpServer.c如下。

ltcpServer.c

点击(此处)折叠或打开

Django源码阅读(一)项目的生成与启动

诚实的说，直到目前为止，我并不欣赏django。在我的认知它并不是多么精巧的设计。只是由功能堆积起来的"成熟方案"。但每一样东西的崛起都是时代的选择。无论你多么不喜欢，但它被需要。希望有一天，python能有更多更丰富的成熟方案，且不再被诟病性能和可维护性。（屁话结束）

取其精华去其糟粕，django的优点是方便，我们这次源码阅读的目的是探究其方便的本质。计划上本次源码阅读不会精细到每一处，而是大体以功能为单位进行解读。

django-adminstartprojectHelloWorld即可生成django项目，命令行是exe格式的。

manage.py把参数交给命令行解析。

execute_from_command_line()通过命令行参数，创建一个管理类。然后运行他的execute()。

如果设置了reload，将会在启动前先check_errors。

check_errors()是个闭包，所以上文结尾是(django.setup)()。

直接看最后一句settings.INSTALLED_APPS。从settings中抓取app

注意，这个settings还不是我们项目中的settings.py。而是一个对象，位于django\conf\__init__.py

这是个Settings类的懒加载封装类，直到__getattr__取值时才开始初始化。然后从Settings类的实例中取值。且会讲该值赋值到自己的__dict__上（下次会直接在自己身上找到，因为__getattr__优先级较低）

为了方便debug，我们直接写个run.py。不用命令行的方式。

项目下建个run.py，模拟runserver命令

debug抓一下setting_module

回到setup()中的最后一句apps.populate(settings.INSTALLED_APPS)

开始看apps.populate()

首先看这段

这些App最后都会封装成为AppConfig。且会装载到self.app_configs字典中

随后，分别调用每个appConfig的import_models()和ready()方法。

App的装载部分大体如此

为了方便debug我们改写下最后一句

res的类型是Commanddjango.contrib.staticfiles.management.commands.runserver.Commandobjectat0x00000101ED5163A0

重点是第二句，让我们跳到run_from_argv()方法，这里对参数进行了若干处理。

用pycharm点这里的handle会进入基类的方法，无法得到正确的走向。实际上子类Commond重写了这个方法。

这里分为两种情况，如果是reload重载时，会直接执行inner_run()，而项目启动需要先执行其他逻辑。

django项目启动时，实际上会启动两次，如果我们在项目入口(manage.py)中设置个print，会发现它会打印两次。

第一次启动时，DJANGO_AUTORELOAD_ENV为None，无法进入启动逻辑。会进入restart_with_reloader()。

在这里会将DJANGO_AUTORELOAD_ENV置为True，随后重启。

第二次时，可以进入启动逻辑了。

这里创建了一个django主线程，将inner_run()传入。

随后本线程通过reloader.run(django_main_thread)，创建一个轮询守护进程。

我们接下来看django的主线程inner_run()。

当我们看到wsgi时，django负责的启动逻辑，就此结束了。接下来的工作交由wsgi服务器了

这相当于我们之前在fastapi中说到的，将fastapi的app交由asgi服务器。(asgi也是django提出来的，两者本质同源)

那么这个wsgi是从哪来的？让我们来稍微回溯下

这个settings是一个对象，在之前的操作中已经从settings.py配置文件中获得了自身的属性。所以我们只需要去settings.py配置文件中寻找。

我们来寻找这个get_wsgi_application()。

它会再次调用setup()，重要的是，返回一个WSGIHandler类的实例。

这就是wsgiapp本身。

load_middleware()为构建中间件堆栈，这也是wsgiapp获取setting信息的唯一途径。导入settings.py，生成中间件堆栈。

如果看过我之前那篇fastapi源码的，应该对中间件堆栈不陌生。

app入口→中间件堆栈→路由→路由节点→endpoint

所以，wsgiapp就此构建完毕，服务器传入请求至app入口，即可经过中间件到达路由进行分发。

你是linux系统我也遇到过

你可以下载一个django的源码包

django/bin/django-admin.py其实你找的就是源码包里面的这个文件然后创建就可以了

至于删除不了应该是权限不够你终端下sudorm-rf文件夹就可以了用的时候小心点删除就找不回来了

?一切从这里开始，先留个心

tips:

?form组件校验数据的规则：从上往下依次取值校验；

??????????????校验通过的放到cleaned_data;

??????????????校验失败的放到errors;

??form中所有的字段默认都是必须传值的（required=True）;

?校验数据的时候可以多传数据，多传的数据不会做任何校验，不会影响form校验规则

?前端取消校验formaction=""method="post"novalidate

??首先is_valid()是校验数据的部分，将数据放入is_valid()开始校验，合格的放在哪里，不合格的放在哪里，因此如果不执行is_valid,是不能执行后面的cleaned_data或者errors，也就是说他是循环每个字段分别去校验，而cleaned_data和errors本质上就是两个字典，用来存放正确的数据和错误的数据。

?总结：学form组件最核心的方法是is_valid(),最重要的源码也是is_valid(),钩子函数也在is_valid()中。

详解：首先铺陈一个基础，TrueandTrue返回的是True,TrueandFalse返回的是False。这里and连接两个返回，前面的self.is_bound返回的一定是True，那么is_valid最后返回True还是False取决于errors到底是空字典还是有键值的,而当errors为空字典，说明没有任何错误，那么not空就是True，如果errors里面有错误的键值，那么就返回False。

详解：拿到两个初始变量，从逻辑上讲，接下来就是循环当前form类中的所有字段，依次判断输入进来的值和字段规则是否符合，符合就放入cleaned_data字典中，不符合就放入errors字典中。

?tips:看源码时要知道自己该看什么，不要什么都看，只看我们当前逻辑关心的地方

详解：

1、self.fields在类实例化时完成赋值，self.fields={"name":name字段对象,"password":password字段对象,"email":email字段对象}，所以name对应的是字段字符串，field对应的是字段对象(也是规则对象)，[比如这里就是name:"name"?field:name或者name:"password"?field:password]。

2、往下看到value，这个value指的是传进来的字典的值(比如这里指字典中name的值wpr)。

3、接着是ifisinstance(field,FileField),指的是字段对象是否为文件类型,在这里三个属性分别是CharField，CharField，EmailField，没有涉及到文件类型，所以走value=field.clean(value)。

4、那就来分析value=field.clean(value)指的是用字段对象来校验这个value值，然后将它重新赋值给value，校验通过后加到cleaned_data字典中,name是这个字段字符串，value是这个通过的值，但是如果这里clean校验不通过，就会抛出一个validdation的错误,由于clean是用c语言封装起来的，所以不去深究，只要知道不通过会报错即可。

5、下一句ifhasattr(self,'clean_%s'%name):??是当上面第一层校验通过后，再走第二层钩子函数的校验，判断当前类下是否有一个叫'clean_%s'%name名字的方法，如果有就将这个方法取出加个括号来调用这个方法，这时调用第二层钩子方法，得到一个返回值(???敲黑板！！注意这里就是为什么在钩子函数中也要返回的原因，但是如果不写也不会报错，这是因为他已经通过了第一层校验，cleaned_data中已经存了那个名字，所以有时不加也没事，但为了防止版本问题产生不必要的bug，还是写上返回值，严谨！！！)

?敲黑板：要第一层校验通过才走钩子函数，如果第一层都没通过，钩子是没用的！！！

6、无论第一次还是第二次校验不通过就会抛出异常exceptValidationErrorase:self.add_error(name,e),把键和错误信息放入errors中。

7、但是这时有个疑问，从逻辑上讲如果第一层通过了,cleaned_data已经存了正确的键值，那如果第二层不通过，cleaned_data就不应该有这个键值，那么关键就在这个add_error()中。

8、那我们就进入add_error()中去一看究竟：

9、那从整体看是通过tryexcept来控制，如果正确放入cleaned_data,如果错误放入errors中。

10、最后只要errors字典里面有键值，就返回False。

?ps:可以将字段对象理解为字段规则/规则对象；

???字典是是无序的(.items)，但在最新版本中中将字典变成有序的了，有一个OrderedDict模块，这个字典保证我们的键值是有序的，在我们定义的时候谁是第一个键值，在我们以后用的时候他都是第一个，这就保证了我们校验的时候是有序的来，先校验第一个字段，再依次校验，如果是无序的，for循环的时候都不知道要校验哪一个；

Django代码注意

1、模板标签里面extend和include是冲突的，有了extend，include无法生效，原因：是底层渲染独立机制设计导致。

2、#coding:utf-8这句只有放在代码文件第一行才能生效，放在注释字符串后面可能会失效。

3、由于前端发展而导致的Post请求Rest化和Django原生的技术设施层简化还有事务封装前移，由此产生的结果是业务层完全可以放在views里面。同事Restful化的好处就是可以把跨业务模块调用放在前端，保证了后端模块之间的正切

4、有用户自生成富文本内容的页面上最好不要放置带XSRF的POST表单，前者可能会窃取后者的Token信息。

5、在template里面的==这一类比较逻辑运算符号两边必须有空格，否则影响模板解析

6、form.is_valid内部逻辑中的Clean_data处理中抛出的异常不会向外传递，只会变成form.is_valid()返回false.

7、Django的业务层和View层怎么切分这个问题，一个简单的方法就是给业务层传递什么层级的参数，个人觉得传递验证过的form比较合适。

8、多级ifelse的两个简化技巧：1是直接用except处理；2是该半路return的直接return掉,这样做虽然不符合过程编程函数设计原则，但是代码相对简洁了很多。

9、Ubuntu生产环境下不能PrintUnicode中文，否则会导致error.

10、因为DJango的500机制和事务机制，所以Django的View层对异常处理代码的依赖比较弱。

11、modelform定义：没有在前端页面出现的字段，一定要exclude掉或者Null了，不过Null会影响默认值，所以最好的方法是Exclude掉，否则即便blank掉，也会导致form存储时出错。因为表单中字段不出现会把默认值覆盖成Null。比exclude更方便的定义方式是定义fields元信息，这样model添加不用的字段不用跑来重新更新form定义

12、数据库存时区性数据的格式化显示一定要放在template里面用date之类的过滤器操作，如果用datetime的striftime直接格式化，会导致时区性数据丢失，出来的时间成了格林威治时间值了，如果在代码中strifttime处理,可以先用django.utils.timezone.localtime方法处理一下，这样出来的时间才是正常的

13、Django调试中的一个问题：众所周知，runserver启动，改动代码，服务会重启，但是改动自定义标签代码，服务是不会重启的。

14、form验证的errors在比较旧的版本里面是没有文本信息，前一段时间看文档，发现新版本有对errors有所加强，比较好用的比如as_json()和as_text()，两个方法，我在比较旧的版本中是自己写个函数对errors对象做解析生成反馈文本信息。

15、ManyToMany字段的through不能addorremove，为了扩展性的考虑，建议默认都加上through，可以为中间关系表加个date_added字段，顺便都加上unique_together约束，不过用through是有缺陷的：写操作略麻烦。那么如果你没加through，准备改成加through的，应该怎样最小改动的操作哪，应该是先把这个ManyToMany字段删除掉，并且migrate生效，然后再加一个有through的ManyToMany字段，当然了后台的数据还的备份重生效一次。这应该算是目前DjangoMigration特性的一个缺陷。

我觉得是你把模板的写法搞错了，在上面的2.中，你传到模板的参数是一个字典，在Django的模板中只能使用这个字典的“键”就是变量，你在模板中用mailcon.lettercon，从模板翻译到Python后就是lettercon.lettercon，那样就是不对的了，应该模板里面直接写{{mailcon|safe}}，这里的mailcon就是你Python里面的lettercon变量

结语：以上就是首席CTO笔记为大家介绍的关于django如何防止源码泄露的全部内容了，希望对大家有所帮助，如果你还想了解更多这方面的信息，记得收藏关注本站。