这篇文章的内容主要围绕Django开发与攻防测试是怎样的进行讲述，文章内容清晰易懂，条理清晰，非常适合新手学习，值得大家去阅读。感兴趣的朋友可以跟随小编一起阅读吧。希望大家通过这篇文章有所收获！
创新互联坚持“要么做到，要么别承诺”的工作理念，服务领域包括：网站建设、成都做网站、企业官网、英文网站、手机端网站、网站推广等服务，满足客户于互联网时代的太白网站设计、移动媒体设计的需求，帮助企业找到有效的互联网解决方案。努力成为您成熟可靠的网络建设合作伙伴！
一、Django基础开发
以前搭博客用的是1.8.2，还在机子上装着没卸，顺便拿过来用，当然新版本会修复很多bug，尽可能还是要去学习新一些的版本，此篇权当入门篇。
1、下载安装与启动
# 下载django
pip install django==1.8.2 -i https://pypi.mirrors.ustc.edu.cn/simple/
# 创建文件夹并启动虚拟环境
virtualenv django_demo
cd django_demo
source bin/activate
# 创建存放django文件的文件夹
mkdir learn_django
cd learn_django
# 创建项目
python django-admin.py startproject django_web
# 创建应用
python manage.py startapp django_app
# 编辑django_web中的settings.py文件，将django_app加入到apps中
这样就完成了最基础的搭建
运行服务看一下
2、Django框架中的MVC与MTV
MVC是众所周知的模式：model（模型）、view（视图）、controller（控制器）
用户在页面输入url，转交给url控制器，然后根据url匹配相应的视图函数，viwe会去到models取数据，然后models在数据库中取得数据后返回给视图，视图把要展示的数据返回给模版，然后就输出到页面上。
Django也是一个MVC框架，但是在Django中，控制器接受用户输入的部分由框架自行处理，所以django更加关注的是 模型(model)、view(视图)、templates(模版)，也就是MTV模型。
请求一个url后，匹配相应的view区，view去models(一个托管数据的层级)查找我们要的数据，然后将数据装载到templates层，然后呈献给我们。
两者很像，可以说MTV基于MVC。
3、静态Web开发
创建模版层
当然，要是只想让简单的数据显示在Web页面中，不需要创建模版，直接在views函数中相应回去就可以了，但是还是正规化一点。
在learn_django中创建templates文件夹（如果是IDE创建的django项目会自动创建），这就是我们的模版文件夹，来添加一个可视化的模版index.html
Django Learning
Hellow,Django!
>
创建视图层
视图层通常来说是一个视图函数，与url进行匹配返回传入对应的Web页面
from django.shortcuts import render
# Create your views here.
def index(request):
return render(request,'index.html')
创建url层
创建url层，根据传入的url来找到我们的视图函数，从而将渲染的模版返回
from django.conf.urls import include, url
from django.contrib import admin
from django_app.views import index
urlpatterns = [
url(r'^admin/', include(admin.site.urls)),
# 用正则去对url进行匹配，然后将视图函数匹配给相应的url
url(r'^index/',index),
运行服务，默认在8000端口
python manage.py runserver
到这一步有一部分同学会有一些小问题，那就是并不能返回模版，可能Windows和linux情况各不相同，linux需要把templates目录放在app目录下才可以找到。
原因就在于settings.py中模版路径设置问题，如果templates目录是放在项目根目录，在settings中将templates路径加入就可以了。
4、动态web开发
前边是说静态页面，如果需要实现动态，那就不得不说与数据库存储的交互问题，需要对models进行对应的编写来取得数据。
MySQL + django
安装对应的数据库接口驱动，这里大致有三种：mysqldb、pymysql、mysqlclient。
默认使用web根目录下的sqlite3数据库
将其修改为相应的mysql信息
创建mysql数据库，指定字符集为UTF-8
models层
创建模型的对象和数据库字段的对应关系
字段定义中的特殊属性
from django.db import models
# Create your models here.
class DjangoTest(models.Model):
text = models.CharField(max_length=20)
生成迁移文件并执行迁移
python manage.py makemigrations
python manage.py migrate
查看创建的信息
建立一些测试数据
在去创建views层之前，我们先对models层进行测试，看是否提取出了数据
可以用两种方法：
1、直接在models中填写提取数据
也可以写在view层，这个无所谓
运行后可能会出现，因为在项目中单独运行python文件，需要搜索环境变量，而并没有指定，所以需要进行设置
django.core.exceptions.ImproperlyConfigured: Requested setting DEFAULT_INDEX_TABLESPACE, but settings are not configured. You must either define the environment variable DJANGO_SETTINGS.....
pycharm解决方法：https://blog.csdn.net/u011013781/article/details/52155761
2、使用django shell
# 打开django shell
python manage.py shell
import django
django.setup()
from django_app.models imoort DjangoTest as dj
# 添加数据，结果见下方图片
a = dj(text="django shell test")
a.save()
# 查询数据，get查询单个数据，filter查询多个模型，all查询
dj.objects.all()
django admin可以帮我们快速管理后台数据
# 创建管理员
python manage.py createsuperuser
```
将我们的模型注册到admin中，打开admin.py
将我们的模型注册到admin中，打开admin.py
from django.contrib import admin
# Register your models here.
from models import DjangoTest
admin.site.register(DjangoTest)
这样就可以在管理员界面管理模型
view与url层
当用户请求django站点上的某个页面时，django会使用路由解析模块来解析路由，默认是app目录下的urls.py。
django加载该路由解析模块，并寻找可用的urlpatterns，这是一个python列表，然后django依次匹配列表中每个url模式，在遇到第一个与请求相匹配的模式时停下来，然后调用对应的视图，视图是一个python函数（或者是一个基于类的视图）。
一个简单的路由选择模块示例：
from django.conf.urls import url
from . import views
urlpatterns = [
url(r'^articles/2003/$', views.special_case_2003),
url(r'^articles/([0-9]{4})/$', views.year_archive),
url(r'^articles/([0-9]{4})/([0-9]{2})/$', views.month_archive),
url(r'^articles/([0-9]{4})/([0-9]{2})/([0-9]+)/$', views.article_detail),
]
与之对应的请求的例子：
对/articles/2005/03/ 的请求将匹配列表中的第三个模式。Django 将调用函数views.month_archive(request, '2005', '03')。
/articles/2005/3/ 不匹配任何URL 模式，因为列表中的第三个模式要求月份应该是两个数字。
/articles/2003/ 将匹配列表中的第一个模式不是第二个，因为模式按顺序匹配，第一个会首先测试是否匹配。请像这样自由插入一些特殊的情况来探测匹配的次序。
/articles/2003 不匹配任何一个模式，因为每个模式要求URL 以一个斜线结尾。
/articles/2003/03/03/ 将匹配最后一个模式。Django 将调用函数views.article_detail(request, '2003', '03', '03')。
根据url后边的数值，赋予相应的参数：id
urls.py
from django.conf.urls import include, url
from django.contrib import admin
from django_app.views import index
urlpatterns = [
url(r'^admin/', include(admin.site.urls)),
url(r'^index/(?P[0-9])/$', index),
]
将对于的id参数代入查询获取数据列表中指定索引的值(忽略这的一点小细节错误)
views.py
from django.shortcuts import render
from django_app.models import DjangoTest
# Create your views here.
def index(request,id):
text = DjangoTest.objects.all()
iden = int(id)
context = {'text':text[iden]}
return render(request,'index.html',context)
模版层
模版层语法参考
Django test
ID: {{ text.id }}
Hello:{{ text.text }}
实际运行效果
二、Django开发中的Web攻防（部分）
1、格式化字符串漏洞
修复前
from django.shortcuts import render
from django.contrib.auth import authenticate, login
import django
django.setup()
# Create your views here.
def index(request):
if request.method == 'GET':
return render(request,'index.html')
else:
username = request.POST['username']
password = request.POST['password']
user = authenticate(username=username,password=password)
if user is not None:
if user.is_active:
login(request, user)
template = 'Hello {user}! , You can set your email is:' + request.POST.get('email')
return render(request, 'index.html', {"value": template.format(user=request.user)})
else:
info = "The password is valid, but the account has been disabled!"
return render(request, 'index.html', {"value": info})
else:
info = "The username and password were incorrect."
return render(request, 'index.html', {"value": info})
在原来的代码上变动了一下，如果不增加认证选项，返回的用户永远是匿名用户。
在前边我已经创建了一个超级用户（admin admin），所以直接用这个用户来进行认证。
认证之后返回登录用户的用户名，我们可以自己通过post方法传入一个邮箱地址上去作为临时地址，如果用户名信息出现任何错误，返回相应的错误信息。
使用django认证系统
User对象是认证系统的核心，默认user的基本属性有username、password、email.....
代码中邮箱信息直接通过format拼接在了字符串中，然后展示在页面里，我们可以通过以下payload来获取敏感数据，将user变量中的password属性 作为变量信息进行拼接，从而进行获取
payload： {user.password}
修复后
index.html
将其他的文本信息直接存放在模版中
Django test
Hello, Django!
hello {{ user }}, You can set your email is:{{ value }}
