CSPがないことは、XSSが存在する証拠ではありません。

CSPがあることも、XSSが存在しない証拠にはなりません。

CSPは補助防御です。

5. Djangoのデプロイ設定を確認する

目的

Djangoの基本的な本番向けセキュリティ設定を確認します。

実行場所

Djangoコンテナまたは仮想環境内で実行します。

python manage.py check --deploy

正常例

System check identified no issues

異常例

security.W004
security.W008
security.W012

判断方法

このコマンドはXSSを網羅的に検出しません。

HTTPS、Cookie、HSTSなどの基本設定を確認する補助コマンドです。

6. 安全な確認文字列を使用する

最初から実行コードを使わず、次のような文字列を入力します。

XSS_TEST_<>&"'_2026

確認項目は次のとおりです。

• 画面上に文字として表示されるか

• HTML要素として増えていないか

• DOM Inspectorで意図しない属性が生まれていないか

• API、DB、管理画面を経由しても文字のままか

• 別ユーザーの画面でも同じか

本番環境では、許可なく能動的な攻撃ペイロードを使用しないでください。

対処方法

1. データはデータとして表示する

危険な例です。