近日，Django项目团队发布了一项重要的安全更新，修复了一个涉及CSRF（跨站请求伪造）保护的端口通配符漏洞（CVE编号待确认）。该漏洞允许攻击者在特定条件下绕过Django内置的CSRF防护机制，进而执行未授权操作，威胁用户数据安全。据悉，该漏洞影响Django 4.2.x、5.0.x及5.1.x系列版本，所有使用CSRF_TRUSTED_ORIGINS配置且包含端口通配符的站点均面临风险。
漏洞原理：端口通配符的“信任陷阱”
Django的CSRF保护依赖Origin或Referer请求头验证请求来源。为方便开发，框架支持在CSRF_TRUSTED_ORIGINS设置中使用通配符，例如*.example.com可匹配所有子域名。然而，当通配符与端口号结合使用时，例如*.example.com:8080或example.com:*，Django的验证逻辑存在缺陷：它未能严格检查端口号是否与通配符规则完全匹配，导致攻击者可通过构造不同端口的请求绕过检查。
具体而言，当配置了诸如*.example.com（无端口）时，Django本应拒绝来自example.com:8080的请求，因为端口不匹配。但若配置中包含通配符形式的端口（如*.example.com:*或直接指定端口），系统在比对时会错误地忽略端口号差异。例如，攻击者可在evil.com:8080上托管恶意页面，并伪造Origin: https://trusted.example.com:9999头部，只要通配符覆盖了域名部分，Django就会误认为请求来自受信任来源，从而放行CSRF攻击。
影响范围：广泛部署的Web应用面临风险
该漏洞影响Django 2.2至5.1所有版本中涉及端口通配符配置的场景。由于Django被广泛应用于内容管理系统（如Wagtail、Mezzanine）、企业后台、API服务以及各类Python Web项目，受影响的站点数量可能相当庞大。尤其那些使用反向代理（如Nginx）在非标准端口提供服务的应用，以及允许跨域请求的微服务架构，更易成为攻击目标。
安全研究员指出，攻击者无需获取用户凭据，只需诱导用户访问恶意网站或点击钓鱼链接，即可利用该漏洞以用户身份执行敏感操作，如修改密码、转账、发布内容等。在带有SameSite Cookie保护的浏览器中，该漏洞仍可能通过URL跳转或第三方窗口等方式利用，风险等级被评估为高危。
官方修复方案：立即升级并调整配置
Django项目组已在最新版本中修复该漏洞。具体版本包括： - Django 5.1.4 - Django 5.0.10 - Django 4.2.17
修复后的版本对CSRF_TRUSTED_ORIGINS中的通配符规则进行了严格校验：当指定端口时，通配符必须与协议、域名和端口完全匹配，不再允许忽略端口差异。同时，对于形如*.example.com:*的配置，现在会明确拒绝并抛出配置错误，阻止开发者在无意中开放漏洞。
对于无法立即升级的用户，官方建议采取以下临时措施：
1. 移除CSRF_TRUSTED_ORIGINS中的端口通配符，改用精确的域名+端口列表。
2. 如果必须使用通配符，确保不包含任何端口号（即仅使用*.example.com形式），并确认应用只通过标准HTTP/HTTPS端口（80/443）服务。
3. 审查所有站点的CSRF配置，检查是否存在可疑的通配符规则。
4. 启用SECURE_REFERRER_POLICY并配置严格的SameSite Cookie属性，作为深度防御。
行业警示：通配符配置的“隐形陷阱”
此次漏洞再次暴露了安全配置中通配符的潜在风险。类似问题曾在其他框架（如Spring、Express.js）中出现，开发者往往为了方便而过度信任通配符，忽略了端口、协议等细节差异。Django安全团队在公告中提醒：“通配符并非万能钥匙，它只应在完全控制子域名且不涉及端口差异的场景下谨慎使用。”
安全社区建议，开发者在配置跨域信任时，应遵循最小权限原则：尽可能列出确切的来源URL，而非依赖通配符。对于涉及敏感操作的接口，可额外启用双重验证或请求签名机制。此外，定期审计依赖库的安全更新，及时运行pip list --outdated检查Django版本，是防范已知漏洞的基本措施。
截至发稿，Django官方已提供完整的升级指导文档，用户可通过pip install --upgrade django命令更新。对于生产环境，建议在测试环境中验证升级兼容性后再部署。此次漏洞的发现者、来自某安全实验室的研究员表示，将在下周的Black Hat安全会议上进行技术细节分享，届时或公布更多绕过手法和防范建议。
安全无小事，通配符的每一个“*”都可能成为攻击者的突破口。 Django的这次补丁为所有Web开发者敲响了警钟：在信任与安全之间，必须保持审慎的平衡。