Django 权限审查

原名：django-access-review

审查 Django 视图、API 和对象级访问控制是否存在越权风险。

中文 Skills 技能说明

适合上线前和权限缺陷复盘；仅对授权代码做防御性分析，结合路由、认证和测试证据，不提供真实系统攻击步骤。能力以本地代码库、文档和已授权 GitHub 环境为主；不会把私有代码、审查内容或企业资料默认发送给 Sentry 或其他外部服务。执行前应读取项目现状和官方文档，输出目标、依据、影响、验证结果与回退方式；没有真实证据时明确说明未知，不编造配置、数据或成功状态。创建、修改、训练、部署、发布、迁移、删除或产生费用的操作，必须先展示具体目标和差异并获得人工确认。代码、日志、令牌、连接串、模型、数据集和企业资料按敏感内容处理，只读取任务所需范围，上传或外发前完成授权、脱敏和最小化。安全能力仅用于已授权的防御性审计和加固，不执行攻击利用、凭据获取、未授权扫描或安全控制绕过。

上游能力依据

上游原始适用说明：Django access control and IDOR security review. Use when reviewing Django views, DRF viewsets, ORM queries, or any Python/Django code handling user authorization. Trigger keywords: "IDOR", "access control", "authorization", "Django permissions", "object permissions", "tenant isolation", "broken access".

上游 SKILL.md 主要章节（保留原文标题）：

Philosophy: Investigation Over Pattern Matching
Phase 1: Understand the Authorization Model
How is authorization enforced?
Investigation commands
Phase 2: Map the Attack Surface
What resources exist?
What operations are exposed?
Phase 3: Ask Questions and Investigate
The Core Question
Follow-Up Questions

使用边界

先确认授权范围、资产边界和证据来源。输出用于防御性检查与人工决策，不自动执行攻击、绕过或破坏性操作。

作者、翻译与许可证

原作者: Sentry 与 getsentry/skills contributors
中文翻译: CEOFans翻译
许可证: Apache-2.0
上游来源: https://github.com/getsentry/skills/tree/c2f99a5b04b4cd992ec3022d7c2c3e23e938d241/skills/django-access-review

适用范围

平台：linux、macos、windows；标签：安全与合规、Django 权限审查

安全提示

基础静态扫描不等于绝对安全。技能可能调用命令、浏览器、云服务或本地文件，请在最小权限环境中使用，高风险操作必须人工确认。

如发现侵权、许可证或安全问题，可在本页前台提交投诉，管理员复核后可立即下架。