Eine einzige vergessene Zeile in settings.py kann Besuchern Ihre gesamte Konfiguration zeigen (DEBUG = True) oder jedem das Fälschen von Sessions ermöglichen (ein SECRET_KEY im Repository). Dieser Skill findet diese und neun weitere Fehler in Django-Einstellungen vor dem Deployment und erklärt, wie Sie jeden beheben.

Ihr Agent führt einen Scanner über Ihre Einstellungsdateien aus: settings.py, einen settings/-Ordner (base.py, production.py) und local_settings.py. Er liest sie mit dem eigenen Parser von Python und versteht daher echten Code, einschließlich Einstellungen in if- und try-Blöcken und Standardwerten beim Auslesen von Umgebungsvariablen. Er importiert oder führt Ihre Einstellungen nie aus. Einstellungsdateien für Entwicklung und Tests werden gelesen, aber nicht gemeldet. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Grund und einem sichereren Ansatz. Schlüssel und Passwörter werden nie ausgegeben.

Was geprüft wird

BLOCK (vor dem Release beheben)

• D01: DEBUG = True, auch wenn das Auslesen einer Umgebungsvariablen standardmäßig true ergibt

• D02: ein SECRET_KEY, der in der Datei steht oder als fest codierter Standardwert verwendet wird

• D03: '*' in ALLOWED_HOSTS

• D04: ein Datenbankpasswort oder eine Datenbank-URL mit Passwort in DATABASES

• D05: eine andere geheime Einstellung in der Datei, etwa EMAIL_HOST_PASSWORD oder AWS_SECRET_ACCESS_KEY

REVIEW (vor dem Release prüfen)

• D11: MIDDLEWARE ohne CsrfViewMiddleware

• D12: Session- oder CSRF-Cookies unsicher eingestellt oder das Session-Cookie per JavaScript lesbar

• D13: SECURE_SSL_REDIRECT deaktiviert oder SECURE_HSTS_SECONDS = 0

• D14: django-cors-headers erlaubt jeden Origin

• D15: ein MD5-, SHA1-, ungesalzener oder crypt-Hasher an erster Stelle in PASSWORD_HASHERS

• D16: eine leere AUTH_PASSWORD_VALIDATORS-Liste

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Grund und sichererem Ansatz für jede Regel

• Riskante und sichere Beispieleinstellungen sowie der echte Bericht des Scanners zur riskanten

Grenzen

Jede Einstellungsdatei wird für sich geprüft, daher werden Werte, die mit from .base import * importiert oder über Umgebungsvariablen gesetzt werden, nicht berücksichtigt. Führen Sie zusätzlich python manage.py check --deploy aus. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 7 Dateien: SKILL.md, der Scanner in scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Grund und sichererem Ansatz) und examples/ (2 Beispieldateien plus report.md, die echte Scanner-Ausgabe zum riskanten Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne Installation. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, nichts wird irgendwohin gesendet.