Django框架是否易受本地文件包含（LFI）和远程文件包含（RFI）的攻击？

Question

与php中一样，include()方法和allow_url_include可能容易受到LFI和RFI的攻击。

django的include是否容易受到lfi和RFI的攻击？在

Answer 1

除非你搞乱了默认的模板加载器。Django不允许include文件位于应用程序的templates文件夹之外，并尽最大努力防止您使用内置操作接触外部文件。在

一般来说，将应用程序代码与用户可以上载文件的路径完全隔离，并清理和减少用户提供的输入与潜在危险函数的交互，这并没有什么坏处。在