Django ORM 安全实践：从 eval 到 filter(**kwargs) 的演进

Django 动态查询的安全隐患

在近期的代码发布过程中，我发现 Python 内置的 eval() 函数存在显著的安全隐患。作为一个初级开发者，我在某段代码中使用了该方法，具体实现如下。

queryset = eval("models.TUserInfo.objects.filter({0})[{1}:{2}]".format(select,page_num * page - page_num,page_num * page))

场景描述：

这是一个用于获取数据的 API 接口。由于需要动态从数据库提取信息，且筛选字段由用户传入，直接使用 eval() 函数会赋予攻击者极大的入侵可能性。因此，我们需要采用更安全的替代方案来优化代码。

filter(**kwargs)：该方法用于返回包含与指定筛选条件相匹配对象的 QuerySet。

条件查询支持：

查询条件可以是普通参数、字典或 Q 对象。

  def filter(self, *args, **kwargs):
    """
    Returns a new QuerySet instance with the args ANDed to the existing
    set.
    """
    return self._filter_or_exclude(False, *args, **kwargs)

使用 filter(**kwargs) 优化代码

因此，我将方案修改为使用字典传值的方式，从而避免了先将代码字符串化再执行字符串化代码的风险。

使用 **dict 进行调用时，传入的参数必须是一个标准的字典对象。

queryset = models.TUserInfo.objects.filter(**field_dict)[page_num * page - page_num:page_num * page]

由于此前未考虑到其他 ORM 的运用方式，这种通过字典传值的方法显得较为新颖，但这确实是一种良好的实践。

filter 与 get 的核心区别

补充知识：Django ORM 中 filter 与 get 的区别

输入参数差异：

get 的参数仅限于 Model 中定义的字段，且仅支持严格匹配。

filter 的参数既可以是字段名，也可以是扩展的 where 查询关键字（如 in, like 等）。

返回值差异：

get 返回的是一个具体的 Model 对象实例。

filter 返回的是一个全新的 QuerySet 对象。QuerySet 支持链式操作，可以进行迭代、遍历或切片，但它是一个对象集合，并不等同于 list 类型。

异常处理差异：

get 仅在返回单条记录时正常工作，这意味着查询字段通常必须是主键或具有唯一约束。如果返回多条记录或未找到记录，get 会抛出异常。

get 方法旨在从数据库获取一个匹配结果并返回对象；若记录不存在则报错，多条记录同样报错。

filter 无论是否有匹配记录均能正常运行。

filter 方法从数据库获取匹配结果，返回一个对象列表；若记录不存在，则返回空列表 []。

此外，有资料指出 filter 具有缓存功能：首次查询数据库并生成缓存，后续调用 filter 时直接获取缓存数据。而 get 方法每次执行均直接查询数据库。此说法仅供参考，具体行为需结合实际情况验证。

以上关于 Django ORM filter() 的运用详解即为全部内容，希望能为大家提供参考，也希望大家多多支持本站。