Django：直接從request.POST [“ item”]處理數據的風險

Question

有時，我的邏輯形式有些復雜，除了類型檢查或正則表達式外，還需要驗證，因此我最終直接從request.POST['item']處理數據，例如：

• datetime.strptime(request.POST['item'], FORMAT)
• MyModel.objects.filter(name=request.POST['item2']

據我所知，第一個示例將在最壞的情況下引發異常，因此不會出現安全問題，而第二個示例，Django ORM將阻止SQLi。 那是對的嗎？

我在URLConf中也有正則表達式，所以我認為處理來自views.py中URL的數據是安全的，因為URLConf已經使用正則表達式對其進行了驗證，對嗎？

Answer 1

是。 如果這些情況不安全，那將是安全問題，如果被發現，則會迅速進行修補。