---
title: "Django 1.7.6 版本发行说明"
version: 5.1
locale: zh-hans
source: https://docs.djangoproject.com/zh-hans/5.1/releases/1.7.6/
canonical: https://djangodocs.dev/zh-hans/5.1/releases/1.7.6/
---
# Django 1.7.6 版本发行说明

*2015 年 3 月 9 日*

Django 1.7.6 修复了 1.7.5 版本中的一个安全问题和一些错误。

## 通过 `ModelAdmin.readonly_fields` 中的属性缓解了XSS攻击

Django admin 中的 [`ModelAdmin.readonly_fields`](/zh-hans/5.1/ref/contrib/admin/#django.contrib.admin.ModelAdmin.readonly_fields) 属性允许显示模型字段和模型属性。虽然前者已经正确转义，但后者没有。因此，不受信任的内容可能会被注入到管理界面，从而构成了 XSS 攻击的利用向量。

在这个漏洞中，`readonly_fields` 中使用的每个模型属性，如果不是实际的模型字段（例如一个 [`property`](https://docs.python.org/3/library/functions.html#property)），即使该属性未标记为安全，也会 **未经转义而失败**。在这个版本中，现在正确地应用了自动转义。

## 漏洞修复

- 修复了将 `ManyRelatedManager` 强制转换为字符串时的崩溃问题（[#24352](https://code.djangoproject.com/ticket/24352)）。
- 修复了一个 bug，当将现有字段转换为外键时，阻止迁移添加外键约束的问题（[#24447](https://code.djangoproject.com/ticket/24447)）。