---
title: "Django 1.4.3 版本发行说明"
version: 5.0
locale: zh-hans
source: https://docs.djangoproject.com/zh-hans/5.0/releases/1.4.3/
canonical: https://djangodocs.dev/zh-hans/5.0/releases/1.4.3/
---
# Django 1.4.3 版本发行说明

*2012 年 12 月 10 日*

Django 1.4.3 解决了 1.4 系列中之前 Django 版本存在的两个安全问题。

请注意，这个安全发布与之前的发布略有不同。这里解决的两个问题都已在之前的 Django 安全更新中得到处理。在一个案例中，我们收到了持续的问题报告，另一个案例中，我们选择采取进一步措施来加强 Django 的代码，以应对来自多个来源的潜在问题的独立发现。

## Host 头部中毒

早期的几个 Django 安全发布主要关注 HTTP Host 头部被污染的问题，这会导致 Django 生成指向任意、可能恶意的域名的 URL 。

为了回应收到的进一步意见以及在之前发布后持续出现的问题，我们正在采取额外措施来加强 Host 头部验证。与其试图适应 HTTP 支持的所有功能，Django 的 Host 头部验证试图支持一个更小但更常见的子集：

- 主机名必须由字符 `[A-Za-z0-9]` 加上连字符（'-'）或点号（'.'）组成。
- 允许使用 IP 地址 - 包括 IPv4 和 IPv6 。
- 如果指定了端口，必须为数字。

现在，任何与此不符的都将被拒绝，并引发异常 [`django.core.exceptions.SuspiciousOperation`](/zh-hans/5.0/ref/exceptions/#django.core.exceptions.SuspiciousOperation)。

## 重定向投毒

同样是跟进之前的问题：今年 7 月，我们对 Django 的 HTTP 重定向类进行了修改，对要重定向到的 URL 的方案进行了额外验证（因为在 Django 自带的应用程序和许多第三方应用程序中，接受用户提供的重定向目标是一种常见的模式）。

从那时起，对代码进行的两次独立审计发现了更多潜在问题。因此，与 Host-header 问题类似，我们正在采取措施提供更严格的验证，以应对报告的问题（主要是与第三方应用程序相关，但在一定程度上也涉及 Django 本身）。这分为两部分：

\1. A new utility function, `django.utils.http.is_safe_url`, is added; this
function takes a URL and a hostname, and checks that the URL is either
relative, or if absolute matches the supplied hostname. This function is
intended for use whenever user-supplied redirect targets are accepted, to
ensure that such redirects cannot lead to arbitrary third-party sites.

\2. All of Django's own built-in views -- primarily in the authentication system
-- which allow user-supplied redirect targets now use `is_safe_url` to
validate the supplied URL.