--- title: "系统检查框架" version: 4.2 locale: zh-hans source: https://docs.djangoproject.com/zh-hans/4.2/ref/checks/ canonical: https://djangodocs.dev/zh-hans/4.2/ref/checks/ --- # 系统检查框架 系统检查框架是一套用于验证 Django 项目的静态检查。它检测常见的问题，并提供如何修复这些问题的提示。该框架是可扩展的，所以你可以很容易地添加自己的检查。 关于如何添加自己的检查并与 Django 的系统检查集成的细节，请看 [系统检查主题指南](/zh-hans/4.2/topics/checks/)。 ## API 参考 ### `CheckMessage` #### `class CheckMessage(level, msg, hint=None, obj=None, id=None)` 系统检查提出的警告和错误必须是 `CheckMessage` 的实例。一个实例封装了一个单一的可报告的错误或警告。它还提供适用于该信息的上下文和提示，以及用于过滤目的的唯一标识符。 构造方法的参数： **`level`** 消息的严重性。使用预定义的数值之一。`DEBUG`、`INFO`、`WARNING`、`ERROR`、`CRITICAL`。如果级别大于或等于 `ERROR`，那么 Django 将阻止管理命令的执行。等级小于 ERROR\`\`\`的消息（即警告）会被报告到控制台，但可以被静默。 **`msg`** 描述问题的简短（少于 80 个字符）字符串。该字符串 *不应* 包含换行符。 **`hint`** 一个单行字符串，提供解决问题的提示。如果不能提供任何提示，或者提示是错误信息中不言自明的，可以省略提示，或者使用 `None` 值。 **`obj`** 可选的。为信息提供上下文的对象（例如，发现问题的模型）。该对象应该是一个模型、字段、管理器或定义了 `str__()` 方法的任何其他对象。该方法在报告所有消息时使用，其结果在消息之前。 **`id`** 可选字符串。问题的唯一标识符。标识符应遵循 `applabel.X001` 的模式，其中 `X` 是字母 `CEWID` 中的一个，表示消息的严重性（`C` 表示严重，`E` 表示错误等）。这个数字可由应用程序分配，但在该应用程序内应是唯一的。 有一些子类可以使创建具有通用级别的消息更容易。当使用它们时，你可以省略 `level` 参数，因为它已被类名所隐含。 #### `class Debug(msg, hint=None, obj=None, id=None)` #### `class Info(msg, hint=None, obj=None, id=None)` #### `class Warning(msg, hint=None obj=None, id=None)` #### `class Error(msg, hint=None, obj=None, id=None)` #### `class Critical(msg, hint=None, obj=None, id=None)` ## 内置标签 Django 的系统检查按以下标签组织： - `admin`：检查所有管理站点的声明。 - `async_support`： 检查异步相关配置。 - `caches`：检查缓存相关的配置。 - `compatibility`：标记版本升级可能导致的问题。 - `database`：检查与数据库有关的配置问题。默认情况下不运行数据库检查，因为数据库检查的工作比普通检查的静态代码分析更多。只有通过 [`migrate`](/zh-hans/4.2/ref/django-admin/#django-admin-migrate) 命令或在调用 [`check`](/zh-hans/4.2/ref/django-admin/#django-admin-check) 命令时使用 `--database` 选项指定配置的数据库别名时，才会运行数据库检查。 - `files` ：检查文件的相关配置。 - `models`：检查模型、字段和管理器定义。 - `security`：检查安全相关配置。 - `signals`：检查信号声明和处理器注册信息。 - `sites` ： 检查 [`django.contrib.sites`](/zh-hans/4.2/ref/contrib/sites/#module-django.contrib.sites) 配置。 - `staticfiles`：检查 [`django.contrib.staticfiles`](/zh-hans/4.2/ref/contrib/staticfiles/#module-django.contrib.staticfiles) 配置。 - `templates`：检查模板相关配置。 - `translation`：检查翻译相关配置。 - `urls`：检查 URL 配置。 一些可能通过多个标签同时注册的检查项。 ## 核心系统检查 ### 异步支持 以下检查验证了你对 [异步支持](/zh-hans/4.2/topics/async/) 的配置： - **async.E001**：你在部署时不应该设置 [`DJANGO_ALLOW_ASYNC_UNSAFE`](/zh-hans/4.2/topics/async/#envvar-DJANGO_ALLOW_ASYNC_UNSAFE) 环境变量。这将禁用 [异步安全保护](/zh-hans/4.2/topics/async/#async-safety)。 ### 向后兼容 兼容性检查警告那些升级 Django 后可能出现的问题。 - **2\_0.W001**：你的 URL 模式 `` 有一个 `route` 包含 `(?P<`、以 `^` 开始或以 `$` 结束。这可能是在从 `url()` 迁移到 [`path()`](/zh-hans/4.2/ref/urls/#django.urls.path) 时的一个疏忽。 - **4\_0.E001**:从Django 4.0开始， ```CSRF_TRUSTED_ORIGINS`设置中的值必须以一个形式开始（通常是``http://`或``https://```），但发现了\`\`\\`\`。 ### 缓存 以下检查验证你的 [`CACHES`](/zh-hans/4.2/ref/settings/#std-setting-CACHES) 配置是否正确设置： - **caches.E001**：你必须在你的 [`CACHES`](/zh-hans/4.2/ref/settings/#std-setting-CACHES) 配置中定义一个 `'default'` 缓存。 - **caches.W002** ：你的 `` 配置可能会暴露你的缓存或导致你的数据损坏，因为它的 [`LOCATION`](/zh-hans/4.2/ref/settings/#std-setting-CACHES-LOCATION) 匹配／是在／包含 [`MEDIA_ROOT`](/zh-hans/4.2/ref/settings/#std-setting-MEDIA_ROOT) ／ [`STATIC_ROOT`](/zh-hans/4.2/ref/settings/#std-setting-STATIC_ROOT) ／ [`STATICFILES_DIRS`](/zh-hans/4.2/ref/settings/#std-setting-STATICFILES_DIRS)。 - **caches.W003** ： 你的 `` 缓存 [`LOCATION`](/zh-hans/4.2/ref/settings/#std-setting-CACHES-LOCATION) 是相对路径。请使用绝对路径。 ### 数据库 #### MySQL 和 MariaDB 如果你使用的是 MySQL 或 MariaDB，将执行以下检查： - **mysql.E001**：MySQL／MariaDB 不允许有唯一约束的 `CharField` 有一个 `max_length` \> 255。这项检查在 Django 3.1 中 *被改为* `mysql.W003`，因为真正的最大尺寸取决于许多因素。 - **mysql.W002**：MySQL／MariaDB 数据库连接 `` 未设置为严格模式。另见 [设置 sql\_mode](/zh-hans/4.2/ref/databases/#mysql-sql-mode)。 - **mysql.W003**：MySQL／MariaDB 不允许有唯一约束的 `CharField` 有 `max_length` \> 255。 ### 管理文件 以下检查验证了你对 [管理文件](/zh-hans/4.2/topics/files/) 的配置： - **files.E001**: [`FILE_UPLOAD_TEMP_DIR`](/zh-hans/4.2/ref/settings/#std-setting-FILE_UPLOAD_TEMP_DIR) 设置引用了不存在的目录 ``。 ### 模型字段 - **fields.E001**：字段名不能以下划线结尾。 - **fields.E002**：字段名不能有 `"__"`。 - **fields.E003**：`pk` 是保留关键字，不能作为字段名使用。 - **fields.E004**：`choices` 必须是可迭代对象（例如，列表或元组）。 - **fields.E005**: `choices` 必须是包含 `(实际值, 人类可读名称)` 元组的可迭代对象。 - **fields.E006**：`db_index` 必须是 `None`，`True` 或 `False`。 - **fields.E007**：主键不能有 `null = True`。 - **fields.E008**：所有 `validators` 必须都是可调用的。 - **fields.E009**：`max_length` 太小，无法容纳 `choices` 中的最长值（`` 字符）。 - **fields.E010**：`` 默认值应该是一个可调用对象，而不是一个实例，这样就不会在所有字段实例之间共享。 - **fields.E100**： `AutoField` 必须设置 primary\_key=True。 - **fields.E110**：`BooleanField` 不接受空值。*这项检查出现在 Django 2.1 中增加对空值的支持之前*。 - **fields.E120**： `CharField` 必须定义一个 `max_length` 属性。 - **fields.E121**： `max_length` 必须是个正整数。 - **fields.W122**： `max_length` 在使用 `` 时会被忽略。 - **fields.E130**： `DecimalField` 必须定义一个 `decimal_places` 属性。 - **fields.E131**： `decimal_places` 必须是个非负整数。 - **fields.E132**： `DecimalField` 必须定义一个 `max_digits` 属性。 - **fields.E133**：`max_digits` 必须是一个正整数。 - **fields.E134**： `max_digits` 必须大于或等于 `decimal_places`。 - **fields.E140**： `FilePathField` 的 `allow_files` 或 `allow_folders` 必须有一个被设为 True。 - **fields.E150**: 如果 `null=False`，则 `GenericIPAddressField` 不能具有 `blank=True`，因为空值将存储为 null 值。 - **fields.E160**：`auto_now`、`auto_now_add` 和 `default` 等选项是相互排斥的。这些选项只能有一个。 - **fields.W161**：提供了固定的默认值。 - **fields.W162**： `` 并不支持在 `` 列上创建数据库索引。 - **fields.W163**: `` 不支持在列上添加注释（`db_comment`）。 - **fields.E170**：`BinaryField` 的 `default` 不能是字符串。使用字节内容代替。 - **fields.E180**：`` 不支持 `JSONField`。 - **fields.E190** ： `` 不支持对 `` 进行字符序设置。 - **fields.E900**：`IPAddressField` 已被删除，但历史迁移中的支持除外。 - **fields.W900**：`IPAddressField` 已被废弃。在 Django 1.9 中，将取消对它的支持（除了历史迁移）。*这个检查出现在 Django 1.7 和 1.8 中*。 - **fields.W901**：`CommaSeparatedIntegerField` 已被废弃。在 Django 2.0 中，对它的支持将被删除（除了在历史迁移中）。*这个检查出现在 Django 1.10 和 1.11 中*。 - **fields.E901**：`CommaSeparatedIntegerField` 已被删除，但历史迁移中的支持除外。 - **fields.W902**：`FloatRangeField` 已被废弃，将在 Django 3.1 中删除。*这项检查出现在 Django 2.2 和 3.0 中*。 - **fields.W903**: `NullBooleanField` 已被弃用。除了在历史迁移中的支持外，在 Django 4.0 中将会移除对它的支持。*此检查出现在 Django 3.1 和 3.2 中*。 - **fields.E903**：“NullBooleanField” 已被删除，但历史迁移中的支持除外。 - **fields.W904**: `django.contrib.postgres.fields.JSONField` 已被弃用。（除了在历史迁移中的支持外）在 Django 4.0 中将会移除对它的支持。*此检查出现在 Django 3.1 和 3.2 中*。 - **fields.E904**: `django.contrib.postgres.fields.JSONField` 已被移除，除了在历史迁移中的支持外。 - **fields.W905**: `django.contrib.postgres.fields.CICharField` 已被弃用。（除了在历史迁移中的支持外）在 Django 5.1 中将会移除对它的支持。 - **fields.W906**: `django.contrib.postgres.fields.CIEmailField` 已被弃用。（除了在历史迁移中的支持外）在 Django 5.1 中将会移除对它的支持。 - **fields.W907**: `django.contrib.postgres.fields.CITextField` 已被弃用。（除了在历史迁移中的支持外）在 Django 5.1 中将会移除对它的支持。 #### 文件字段 - **fields.E200**：`unique` 不是 `FileField` 的有效参数。*这项检查在 Django 1.11 中已被删除*。 - **fields.E201**： `primary_key` 对于 `FileField` 来说不是个有效的参数。 - **fields.E202**： `FileField` 的 `upload_to` 参数必须是个相对路径，而不是一个相对路径。 - **fields.E210**： 不能使用 `ImageField`，因为未安装 Pillow。 #### 关联字段 - **fields.E300**：字段定义了与模型 \\`\`的关系，该模型要么没有安装，要么是抽象的。 - **fields.E301** ： 字段定义了一个与 `.` 模型的关系，该模型已被替换。 - **fields.E302**: 反向访问器 `.` 与字段名 `..` 冲突。 - **fields.E303**: 反向查询名称与字段名 `..` 冲突。 - **fields.E304**: 反向访问器 `.` 与反向访问器 `..` 冲突。 - **fields.E305**: 反向查询名称与反向查询名称 `..` 冲突。 - **fields.E306**: 名称 `` 对于字段 `.` 的 `related_name` 是无效的。 - **fields.E307**：字段 `..` 被声明为对 `.` 的惰性引用，但应用程序 `` 没有安装或没有提供模型 ``。 - **fields.E308**：反向查询名称 ``，不得以下划线结束。 - **fields.E309**：逆向查询名称 ``，不得包含 `'__'`。 - **fields.E310**：模型 `` 上的 ``、`` 等字段的子集没有唯一性。 - **fields.E311**：`.` 必须是唯一的，因为它是由 `ForeignKey` 引用的。 - **fields.E312**：`to_field` `` 在相关模型 `.` 上不存在。 - **fields.E320**：字段规定 on\_delete=SET\_NULL\`，但不能为空。 - **fields.E321**：该字段规定 `on_delete=SET_DEFAULT`，但没有默认值。 - **fields.E330**：`ManyToManyField` 不能是唯一的。 - **fields.E331**：字段通过模型 `` 具体说明多对多关系，该模型尚未安装。 - **fields.E332**：有中间表的多对多字段不得对称。*这项检查是在 Django 3.0 之前出现的*。 - **fields.E333**：该模型被 `` 用作中间模型，但它有两个以上的外键到 ``，这是不明确的。你必须通过 `through_fields` 关键字参数指定 Django 应该使用哪两个外键。 - **fields.E334**：该模型被 `` 用作中间模型，但它有一个以上来自 `` 的外键，这是不明确的。你必须通过 `through_fields` 关键字参数指定 Django 应该使用哪个外键。 - **fields.E335**：该模型被 `` 用作中间模型，但它有一个以上的 `` 外键，这是不明确的。你必须通过 `through_fields` 关键字参数指定 Django 应该使用哪个外键。 - **fields.E336**：该模型被 `` 用作中介模型，但它没有 `` 或 `` 的外键。 - **fields.E337**：字段规定了 `through_fields`，但没有提供应通过 `` 用于关系的两个链接字段的名称。 - **fields.E338**：中间模型 ``，没有字段 ``。 - **fields.E339**：`.` 不是 `` 的外键。 - **fields.E340**：该字段的中间表 `` 与表名 ``/`.` 相冲突。 - **fields.W340**：`null` 对 `ManyToManyField` 没有影响。 - **fields.W341**：`ManyToManyField` 不支持 `validators`。 - **fields.W342**：对 `ForeignKey` 设置 `unique=True` 与使用 `OneToOneField` 效果相同。 - **fields.W343**: 在具有 `through` 模型的 `ManyToManyField` 上，`limit_choices_to` 不起作用。*此检查在 Django 4.0 之前出现*。 - fields.W344\*：该字段的中间表 `
` 与表名 ``/\.\\`\`相冲突。 - **fields.W345**: 在具有对称关系的 `ManyToManyField` 上，例如对 "self"，`related_name` 不起作用。 - **fields.W346**: `db_comment` 在 `ManyToManyField` 上无效。 ### 模型 - **models.E001**： `` 不是表单 `app_label.app_name`。 - **models.E002**：`` 引用了 ``，但该网站尚未安装，或者是抽象的。 - **models.E003**：该模型通过中间模型 `.` 有两个相同的多对多关系。 - **models.E004**：`id` 只有在字段也设置了 `primary_key=True` 的情况下才能用作字段名。 - **models.E005**：父模型 `` 中的字段 `` 与父模型 `` 中的字段 `` 发生冲突。 - **models.E006**: 字段 `` 与模型 `` 中的字段 `` 冲突。 - **models.E007**： 列名 `` 被其它字段使用的字段 `` 。 - **models.E008**： `index_together` 必须是个列表或元组。 - **models.E009**： 所有 `index_together` 元素都必须是列表或元组。 - **models.E010**： `unique_together` 必须是个列表或元组。 - **models.E011**： 所有 `unique_together` 元素都必须是列表或元组。 - **models.E012** ： `constraints/indexes/index_together/unique_together` 引用了不存在的字段 ``。 - **models.E013** ： `constraints/indexes/index_together/unique_together` 指向一个 `ManyToManyField` ``，但 `ManyToManyField` 不支持该选项。 - **models.E014**： `ordering` 必须是个元组或列表（即便你只想按照一个字段进行排序）。 - **models.E015**：`ordering` 指向是不存在的字段、相关字段或查找 ``。 - **models.E016** ： `constraints/indexes/index_together/unique_together` 指的是字段 ``，该字段不在模型 `` 的本地。 - **models.E017**：代理模型 ``，包含模型字段。 - **models.E018**：自动生成的列名对字段 `` 来说太长。数据库 `` 的最大长度为 ``。 - **models.E019**：自动生成的列名对 M2M 字段 `` 来说太长。数据库 `` 的最大长度为 ``。 - **models.E020**：`.check()` 类方法目前被覆盖。 - **models.E021**：`ordering` 和 `order_with_respect_to` 不能一起使用。 - **models.E022**：`` 包含对 `.` 的惰性引用，但应用 `` 没有安装或没有提供模型 ``。 - **models.E023**：模型名称 `` 不能以下划线开头或结尾，因为它与查找语法相冲突。 - **models.E024**：模型名称 `` 不能包含双下划线，因为它与查找语法相冲突。 - **models.E025**：`` 属性与相关字段存取器发生冲突。 - **models.E026**：该模型不能有一个以上的 `primary_key=True` 字段。 - **models.W027**：`` 不支持检查约束。 - **models.E028**：`db_table` `` 被多个模型使用：``。 - **models.E029**：索引名 `` 对模型 `` 不是唯一的。 - **models.E030** ：索引名 `` 在模型 `` 中不是唯一的。 - **models.E031**：约束名称 `` 对模型 `` 不是唯一的。 - **models.E032** ： 约束名称 `` 在模型 `` 中不是唯一的。 - **models.E033**：索引名称 `` 不能以下划线或数字开头。 - **models.E034**：索引名称 `` 不能长于 `` 字符。 - **models.W035**：`db_table` `` 被多个模型使用：``。 - **models.W036**：`` 不支持带有条件的唯一约束。 - **models.W037**：`` 不支持有条件的索引。 - **models.W038**：`` 不支持可推迟的唯一约束。 - **models.W039** ： `` 不支持非键列的唯一约束。 - **models.W040** ： `` 不支持带有非键列的索引。 - **models.E041** ： `constraints` 指向 join 字段 ``。 - **models.W042** ： 在没有定义主键类型时使用的自动创建的主键，默认为 `django.db.models.AutoField`。 - **models.W043** ： `` 不支持对表达式的索引。 - **models.W044**: `` 不支持在表达式上的唯一约束。 - **models.W045**: 检查约束 `` 包含 `RawSQL()` 表达式，并且在模型的 `full_clean()` 中不会得到验证。 - **models.W046**: `` 不支持在表上添加注释（`db_table_comment`）。 ### 安全 安全检查并不能使你的网站安全。它们不会审计代码，进行入侵检测，或做任何特别复杂的事情。相反，它们有助于执行一个自动化的、唾手可得的检查清单，可以帮助你提高网站的安全性。 其中一些检查可能不适合你的特定部署配置。例如，如果你在负载均衡器中进行 HTTP 到 HTTPS 的重定向，那么不断地被警告没有启用 [`SECURE_SSL_REDIRECT`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_SSL_REDIRECT) 会很恼火。使用 [`SILENCED_SYSTEM_CHECKS`](/zh-hans/4.2/ref/settings/#std-setting-SILENCED_SYSTEM_CHECKS) 来关闭不需要的检查。 如果使用 [`check --deploy`](/zh-hans/4.2/ref/django-admin/#cmdoption-check-deploy) 选项，则会运行以下检查： - **security.W001**: 你的 [`MIDDLEWARE`](/zh-hans/4.2/ref/settings/#std-setting-MIDDLEWARE) 中没有包含 [`django.middleware.security.SecurityMiddleware`](/zh-hans/4.2/ref/middleware/#django.middleware.security.SecurityMiddleware)，因此 [`SECURE_HSTS_SECONDS`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_HSTS_SECONDS)、[`SECURE_CONTENT_TYPE_NOSNIFF`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_CONTENT_TYPE_NOSNIFF)、[`SECURE_REFERRER_POLICY`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_REFERRER_POLICY)、[`SECURE_CROSS_ORIGIN_OPENER_POLICY`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_CROSS_ORIGIN_OPENER_POLICY) 和 [`SECURE_SSL_REDIRECT`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_SSL_REDIRECT) 设置将不会生效。 - **security.W002**：你的 [`MIDDLEWARE`](/zh-hans/4.2/ref/settings/#std-setting-MIDDLEWARE) 中没有 [`django.middleware.clickjacking.XFrameOptionsMiddleware`](/zh-hans/4.2/ref/middleware/#django.middleware.clickjacking.XFrameOptionsMiddleware)，因此你的页面不会使用 `'x-frame-options'` 头。除非有很好的理由让你的网站以框架形式提供服务，否则你应该考虑启用这个头以帮助防止点击劫持攻击。 - **security.W003**：你似乎没有通过中间件使用 Django 内置的跨站请求伪造保护功能（[`django.middleware.csrf.CsrfViewMiddleware`](/zh-hans/4.2/ref/middleware/#django.middleware.csrf.CsrfViewMiddleware) 不在你的 [`MIDDLEWARE`](/zh-hans/4.2/ref/settings/#std-setting-MIDDLEWARE) 中）。启用中间件是最安全的方法，以确保你不会留下任何漏洞。 - **security.W004**：你没有为 [`SECURE_HSTS_SECONDS`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_HSTS_SECONDS) 配置设置一个值。如果你的整个网站只通过 SSL 提供服务，你可能需要考虑设置一个值并启用 [HTTP 严格传输安全](/zh-hans/4.2/ref/middleware/#http-strict-transport-security)。一定要先阅读文档，不小心启用 HSTS 会导致严重的、不可逆转的问题 - **security.W005**：你没有将 [`SECURE_HSTS_INCLUDE_SUBDOMAINS`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_HSTS_INCLUDE_SUBDOMAINS) 设置为 `True`。如果没有这个设置，你的网站就有可能受到通过不安全连接到子域的攻击。只有当你确定你的域名的所有子域都应该只通过 SSL 来提供服务时，才将此设置为 `True`。 - **security.W006**：你的 [`SECURE_CONTENT_TYPE_NOSNIFF`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_CONTENT_TYPE_NOSNIFF) 配置没有设置为 `True`，因此你的网页不会以 `'X-Content-Type-Options: nosniff'` 头提供服务。你应该考虑启用这个头，以防止浏览器错误地识别内容类型。 - **security.W007**: 你的 `SECURE_BROWSER_XSS_FILTER` 设置没有被设置为 `True`，因此你的页面将不会包含 `'X-XSS-Protection: 1; mode=block'` 头部。你应该考虑启用这个头部以激活浏览器的 XSS 过滤，以帮助防止 XSS 攻击。*这个检查在 Django 3.0 中被移除，因为现代浏览器不再支持\`\`X-XSS-Protection\`\` 头部*。 - **security.W008**：你的 [`SECURE_SSL_REDIRECT`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_SSL_REDIRECT) 配置没有设置为 `True`。除非你的网站需要通过 SSL 和非 SSL 连接，否则你可能需要将此设置设置为 `True`，或者配置一个负载平衡器或反向代理服务器，将所有连接重定向到 HTTPS。 - **security.W009**: 你的 [`SECRET_KEY`](/zh-hans/4.2/ref/settings/#std-setting-SECRET_KEY) 字符串长度小于 50 个字符，包含少于 5 个不同字符，或以 `'django-insecure-'` 为前缀，表明它是由 Django 自动生成的。请生成一个长且随机的值，否则 Django 的许多安全关键功能将容易受到攻击。 - **security.W010**：你的 [`INSTALLED_APPS`](/zh-hans/4.2/ref/settings/#std-setting-INSTALLED_APPS) 中有 `django.contrib.session`，但你没有将 [`SESSION_COOKIE_SECURE`](/zh-hans/4.2/ref/settings/#std-setting-SESSION_COOKIE_SECURE) 设置为 `True`。使用仅安全的会话 cookie 可以使网络流量嗅探器更难劫持用户会话。 - **security.W011**：您的 [`MIDDLEWARE`](/zh-hans/4.2/ref/settings/#std-setting-MIDDLEWARE) 中有 `django.contrib.session.middleware.SessionMiddleware`，但你没有将 [`SESSION_COOKIE_SECURE`](/zh-hans/4.2/ref/settings/#std-setting-SESSION_COOKIE_SECURE) 设置为 `True`。使用仅安全的会话 cookie 可以使网络流量嗅探器更难劫持用户会话 - **security.W012**：[`SESSION_COOKIE_SECURE`](/zh-hans/4.2/ref/settings/#std-setting-SESSION_COOKIE_SECURE) 未设置为 `True`。使用仅安全的会话 cookie 使网络流量嗅探者更难劫持用户会话。 - **security.W013**：你的 [`INSTALLED_APPS`](/zh-hans/4.2/ref/settings/#std-setting-INSTALLED_APPS) 中有 `django.contrib.session`，但你没有将 [`SESSION_COOKIE_HTTPONLY`](/zh-hans/4.2/ref/settings/#std-setting-SESSION_COOKIE_HTTPONLY) 设置为 `True`。使用 `HttpOnly` 的会话 cookie 可以使跨站脚本攻击更难劫持用户会话。 - **security.W014**：你的 [`MIDDLEWARE`](/zh-hans/4.2/ref/settings/#std-setting-MIDDLEWARE) 中有 [`django.contrib.sessions.middleware.SessionMiddleware`](/zh-hans/4.2/ref/middleware/#django.contrib.sessions.middleware.SessionMiddleware)，但你没有将 [`SESSION_COOKIE_HTTPONLY`](/zh-hans/4.2/ref/settings/#std-setting-SESSION_COOKIE_HTTPONLY) 设置为 `True`。使用 `HttpOnly` 的会话 cookie 可以使跨站脚本攻击更难劫持用户会话。 - **security.W015**：[`SESSION_COOKIE_HTTPONLY`](/zh-hans/4.2/ref/settings/#std-setting-SESSION_COOKIE_HTTPONLY) 未设置为 `True`。使用 `HttpOnly` 的会话 cookie 使跨站脚本攻击更难劫持用户会话。 - **security.W016**：[`CSRF_COOKIE_SECURE`](/zh-hans/4.2/ref/settings/#std-setting-CSRF_COOKIE_SECURE) 未设置为 `True`。使用仅安全的 CSRF cookie 会使网络流量嗅探者更难窃取 CSRF 令牌。 - **security.W017**：[`CSRF_COOKIE_HTTPONLY`](/zh-hans/4.2/ref/settings/#std-setting-CSRF_COOKIE_HTTPONLY) 未设置为 `True`。使用 `HttpOnly` CSRF cookie 会使跨站脚本攻击更难窃取 CSRF 令牌。*这个检查在 Django 1.11 中被删除了，因为 \* :setting:\`CSRF\_COOKIE\_HTTPONLY\` \* 配置没有实际的好处*。 - **security.W018**：在部署时不应将 [`DEBUG`](/zh-hans/4.2/ref/settings/#std-setting-DEBUG) 设置为 `True`。 - **security.W019**：在你的 [`MIDDLEWARE`](/zh-hans/4.2/ref/settings/#std-setting-MIDDLEWARE) 中有 [`django.middleware.clickjacking.XFrameOptionsMiddleware`](/zh-hans/4.2/ref/middleware/#django.middleware.clickjacking.XFrameOptionsMiddleware)，但 [`X_FRAME_OPTIONS`](/zh-hans/4.2/ref/settings/#std-setting-X_FRAME_OPTIONS) 没有设置为 `'DENY'`。除非有很好的理由让你的网站在一个框架中为其他部分服务，否则你应该把它改为 `'DENY'`。 - **security.W020**：[`ALLOWED_HOSTS`](/zh-hans/4.2/ref/settings/#std-setting-ALLOWED_HOSTS) 在部署时不得为空。 - **security.W021**：你没有将 [`SECURE_HSTS_PRELOAD`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_HSTS_PRELOAD) 设置为 `True`。否则，你的网站将无法提交到浏览器预加载列表。 - **security.W022**：你没有设置 [`SECURE_REFERRER_POLICY`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_REFERRER_POLICY) 配置。如果没有这个配置，你的网站将不会发送 Referrer-Policy 头。你应该考虑启用这个头以保护用户隐私。 - **security.E023**：你的 [`SECURE_REFERRER_POLICY`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_REFERRER_POLICY) 配置为无效值。 - **security.E024**: 你已将 [`SECURE_CROSS_ORIGIN_OPENER_POLICY`](/zh-hans/4.2/ref/settings/#std-setting-SECURE_CROSS_ORIGIN_OPENER_POLICY) 设置为无效值。 - **security.W025**: 你的 [`SECRET_KEY_FALLBACKS[n]`](/zh-hans/4.2/ref/settings/#std-setting-SECRET_KEY_FALLBACKS) 字符串长度小于 50 个字符，包含少于 5 个不同字符，或以 `'django-insecure-'` 为前缀，表明它是由 Django 自动生成的。请生成一个长且随机的值，否则 Django 的许多安全关键功能将容易受到攻击。 以下检查验证你的安全相关配置是否正确设置： - **security.E100**: `DEFAULT_HASHING_ALGORITHM` 必须是 `'sha1'` 或 `'sha256'`。*此检查出现在 Django 3.1 和 3.2 版本中*。 - **security.E101** ： CSRF 失败视图 `'path.to.view'` 没有使用正确的参数个数。 - **security.E102** ： 无法导入 CSRF 失败视图 `'path.to.view'`。 ### 信号 - **signals.E001**：`` 与 `` 信号连接，并惰性引用发送方 `.`，但应用 `` 没有安装或没有提供模型 ``。 ### 模板 以下检查验证你的 [`TEMPLATES`](/zh-hans/4.2/ref/settings/#std-setting-TEMPLATES) 配置是否正确设置： - **templates.E001**：你在你的 [`TEMPLATES`](/zh-hans/4.2/ref/settings/#std-setting-TEMPLATES) 中有 `'APP_DIRS': True` ，但在 `OPTIONS` 中也指定了 `'loaders'`。要么删除 `APP_DIRS`，要么删除 `'loaders'` 选项。 - **templates.E002**：`string_if_invalid` 在 [`TEMPLATES`](/zh-hans/4.2/ref/settings/#std-setting-TEMPLATES) 的 [`OPTIONS`](/zh-hans/4.2/ref/settings/#std-setting-TEMPLATES-OPTIONS) 必须是一个字符串，但得到：`{value}` （`{type}`）。 - **templates.E003**: `` 用于多个模板标签模块：``。*此检查在 Django 4.1.2 中更改为* `templates.W003`。 - **templates.W003**: `` 用于多个模板标签模块：``。 ### 翻译 以下是对你的翻译配置进行的检查： - **translation.E001**:：你为 [`LANGUAGE_CODE`](/zh-hans/4.2/ref/settings/#std-setting-LANGUAGE_CODE) 设置提供了一个无效值 setting: ``。 - **translation.E002**：你在 [`LANGUAGES`](/zh-hans/4.2/ref/settings/#std-setting-LANGUAGES) 配置中提供了无效的语言代码 setting: ``。 - **translation.E003**：你在 [`LANGUAGES_BIDI`](/zh-hans/4.2/ref/settings/#std-setting-LANGUAGES_BIDI) 设置中提供了一个无效的语言代码 setting: ``。 - **translation.E004**：你为 [`LANGUAGE_CODE`](/zh-hans/4.2/ref/settings/#std-setting-LANGUAGE_CODE) 配置提供了一个不在 [`LANGUAGES`](/zh-hans/4.2/ref/settings/#std-setting-LANGUAGES) 配置中的值。 ### URL 以下检查项针对你的 URL 配置执行： - **urls.W001**：你的 URL 模式 `` 使用 [`include()`](/zh-hans/4.2/ref/urls/#django.urls.include)，并以 `$` 结尾的 `route`。把 `route` 中的美元符号去掉，以避免包含 URL 的问题。 - **urls.W002**：你的 URL 模式 `` 有一个以 `/` 开头的 `route`。请删除这个斜线，因为它是不必要的。如果这个模式是以 [`include()`](/zh-hans/4.2/ref/urls/#django.urls.include) 为目标，请确保 [`include()`](/zh-hans/4.2/ref/urls/#django.urls.include) 模式有一个尾部的 `/`。 - **urls.W003**：你的 URL 模式 `` 有一个 `name`，包括一个 `:`。去掉冒号，以避免模糊的命名空间引用。 - **urls.E004**：你的 URL 模式 `` 无效。确保 `urlpatterns` 是一个 [`path()`](/zh-hans/4.2/ref/urls/#django.urls.path) 和／或 [`re_path()`](/zh-hans/4.2/ref/urls/#django.urls.re_path) 实例的列表。 - **urls.W005**：URL 命名空间 `` 不是唯一的。你可能无法反查此命名空间中的所有 URL。 - **urls.E006**：[`MEDIA_URL`](/zh-hans/4.2/ref/settings/#std-setting-MEDIA_URL) ／[`STATIC_URL`](/zh-hans/4.2/ref/settings/#std-setting-STATIC_URL) 的配置必须以斜线结束。 - **urls.E007**：自定义 `handlerXXX` 视图 `''path.to.view'` 没有使用正确的参数数（...）。 - **urls.E008**：无法导入自定义 `handlerXXX` 视图 `'path.to.view'`。 - **urls.E009**: 你的 URL 模式 `` 存在无效的视图，请使用 `.as_view()` 而不是 ``。 ## `contrib` 应用检查 ### `admin` 后台检查项均作为 `admin` 标签的一部分执行。 以下检查项在每个通过后台站点注册的 [`ModelAdmin`](/zh-hans/4.2/ref/contrib/admin/#django.contrib.admin.ModelAdmin) （或其子类）上执行。 - **admin.E001**： `raw_id_fields` 的值必须是个列表或元组。 - **admin.E002**: `raw_id_fields[n]` 的值指向了 ``，这不是 `` 的字段。 - **admin.E003**： `raw_id_fields[n]` 的值必须是个外键或一个多对多字段。 - **admin.E004**： `fields` 的值必须是列表或元组。 - **admin.E005**： `fieldsets` 和 `fields` 都是定制的。 - **admin.E006**： `fields` 的值包含了重复字段。 - **admin.E007**： `fieldsets` 的值必须是个列表或元组。 - **admin.E008**： `fieldsets[n]` 的值必须是个列表或元组。 - **admin.E009**： `fieldsets[n]` 的值的长度必须是 2。 - **admin.E010**： `fieldsets[n][1]` 的值必须是个字典。 - **admin.E011**： `fieldsets[n][1]` 的值必须包含键 `fields`。 - **admin.E012**： `fieldsets[n][1]` 中有重复字段。 - **admin.E013**: `fields[n]/fieldsets[n][m]` 的值不能包括 `ManyToManyField` ``，因为该字段手动指定了关系模型。 - **admin.E014**： `exclude` 的值必须是个列表或元组。 - **admin.E015**： `exclude` 的值必须包含重复字段。 - **admin.E016**： `form` 的值必须继承自 `BaseModelForm`。 - **admin.E017**： `filter_vertical` 的值必须是个列表或元组。 - **admin.E018**： `filter_horizontal` 的值必须是个列表或元组。 - **admin.E019**: `filter_vertical[n]/filter_horizontal[n]` 的值指向了 ``，这不是 `` 的字段。 - **admin.E020**：`filter_vertical[n]/filter_horizontal[n]` 的值必须是多对多字段。 - **admin.E021**：`radio_fields` 的值必须是一个字典。 - **admin.E022**: `radio_fields` 的值指向了 ``，这不是 `` 的字段。 - **admin.E023** : `radio_fields` 的值指的是 ``，它不是 `ForeignKey` 的实例，也没有 `choices` 的定义。 - **admin.E024**：`radio_fields[]` 的值必须是 `admin.HORIZONTAL` 或 `admin.VERTICAL`。 - **admin.E025**：`view_on_site` 的值必须是可调用值或布尔值。 - **admin.E026**：`prepopulated_fields` 的值必须是一个字典。 - **admin.E027**: `prepopulated_fields` 的值指向了 ``，这不是 `` 的字段。 - **admin.E028**：`prepopulated_fields` 的值指的是 ``，它不得是 `DateTimeField`、`ForeignKey`、`OneToOneField` 或 `ManyToManyField` 字段。 - **admin.E029**：`prepopulated_fields[]` 的值必须是一个列表或元组。 - **admin.E030**: `prepopulated_fields` 的值指向了 ``，这不是 `` 的字段。 - **admin.E031**：`ordering` 的值必须是一个列表或元组。 - **admin.E032**：`ordering` 的值有随机排序标记 `?`，但也有其他字段。 - **admin.E033**: `ordering` 的值指向了 ``，这不是 `` 的字段。 - **admin.E034**：`readonly_fields` 的值必须是一个列表或元组。 - **admin.E035**：`readonly_fields[n]` 的值不是可调用对象，不是 `` 的属性，也不是 `` 的属性。 - **admin.E036**：`autocomplete_fields` 的值必须是一个列表或元组。 - **admin.E037**: `autocomplete_fields[n]` 的值指向了 ``，这不是 `` 的字段。 - **admin.E038**：`autocomplete_fields[n]` 的值必须是外键或多对多字段。 - **admin.E039**：模型 `` 的管理必须注册，才能由 `.autocomplete_fields` 引用。 - **admin.E040**：`` 必须定义 `search_fields`，因为 `.autocomplete_fields` 引用了它。 #### `ModelAdmin` 对管理站点注册的任何 [`ModelAdmin`](/zh-hans/4.2/ref/contrib/admin/#django.contrib.admin.ModelAdmin) 进行以下检查： - **admin.E101**： `save_as` 的值必须是个布尔值。 - **admin.E102**： `save_on_top` 的值必须是个布尔值。 - **admin.E103**： `inlines` 的值必须是个列表或元组。 - **admin.E104**： `` 必须继承自 `InlineModelAdmin`。 - **admin.E105**： `` 必须有个 `model` 属性。 - **admin.E106**： `.model` 的值必须是个 `Model`。 - **admin.E107**： `list_display` 的值必须是个列表或元组。 - **admin.E108**：`list_display[n]` 的值指的是 `