安全扫描Django项目解决存在敏感信息常见问题

1. 使用环境变量 这是最常用的方法之一。

你可以将所有的敏感信息设置为环境变量，并在Django的配置文件中读取这些环境变量。

设置环境变量（Linux/macOS）

export SECRET_KEY='your_secret_key'
export DB_NAME='your_db_name'
export DB_USER='your_db_user'
export DB_PASSWORD='your_db_password'

在Windows上： 可以通过控制面板或PowerShell设置环境变量。

Django配置文件中的使用：
 

import osSECRET_KEY = os.getenv('SECRET_KEY', 'fallback_secret_key')
DATABASES = {'default': {'ENGINE': 'django.db.backends.postgresql','NAME': os.getenv('DB_NAME'),'USER': os.getenv('DB_USER'),'PASSWORD': os.getenv('DB_PASSWORD'),'HOST': 'localhost','PORT': '',}
}

2. 使用 .env 文件与 python-decouple 或 django-environ

        这是一种更结构化的方式，它允许你创建一个.env文件来保存所有敏感信息，然后通过Python包来读取它们。

pip install python-decouple
pip install django-environ

创建 .env 文件： 

SECRET_KEY=your_secret_key
DEBUG=True
DB_NAME=your_db_name
DB_USER=your_db_user
DB_PASSWORD=your_db_password
DB_HOST=localhost
DB_PORT=5432

配置 Django (使用 python-decouple):

from decouple import configSECRET_KEY = config('SECRET_KEY')
DATABASES = {'default': {'ENGINE': 'django.db.backends.postgresql','NAME': config('DB_NAME'),'USER': config('DB_USER'),'PASSWORD': config('DB_PASSWORD'),'HOST': config('DB_HOST', default='localhost'),'PORT': config('DB_PORT', default=''),}
} 

对于django-environ，用法类似，但需要初始化环境对象。

成功：