Обзор доступа Django

Что делает навык

Навык предназначен для проведения ревью безопасности контроля доступа в Django-приложениях, с акцентом на выявление уязвимостей IDOR. Он помогает определить, может ли пользователь получить доступ к данным другого пользователя, путем глубокого анализа кода, а не простого поиска паттернов.

Когда применять

• Анализ Django views, DRF viewsets и ORM-запросов на предмет корректности проверки прав доступа.
• Исследование кода Python/Django, обрабатывающего авторизацию и принадлежность данных пользователям.
• Выявление разрывов в логике авторизации при передаче идентификаторов ресурсов через URL, query-параметры или тело запроса.
• Проверка того, как реализована модель владения данными (user, organization, tenant) в конкретном кодебейсе.

Как работает

1. Изучите модель авторизации кодабейса: найдите, где применяются проверки (декораторы, middleware, базовые классы, permission_classes) и как ограничиваются запросы (кастомные менеджеры, get_queryset).
2. Определите модель владения данными (single user, organization, hierarchical) и картуйте атакуемые поверхности, выявляя ресурсы с полями владения и операции над ними.
3. Для каждого эндпоинта, работающего с пользовательскими данными, проследите поток: от получения ID ресурса до выполнения ORM-запроса, проверяя наличие проверок владения на каждом шаге.
4. Проверяйте наличие кастомных методов has_object_permission, проверку родительских классов и middleware, чтобы подтвердить или опровергнуть безопасность потока.
5. Фиксируйте только подтвержденные уязвимости, указывая уровень уверенности (High/Medium/Low) и предоставляя конкретный код для исправления, а не просто комментарии.

Примеры запросов агенту

Описание составлено по SKILL.md навыка, сверено 05.10.2026.

Как подключить

Навык — папка с файлом SKILL.md (описание + инструкции) и опциональными скриптами. Ассистент (Claude, Claude Code и совместимые) подхватывает его по описанию и следует шагам.