安全地在Django模板中调用JavaScript脚本中的环境变量-js教程-PHP中文网

安全地在Django模板中调用JavaScript脚本中的环境变量

心靈之曲

发布： 2025-10-23 13:45:01

原创

895人浏览过

安全地在django模板中调用javascript脚本中的环境变量

本教程旨在解决在Django模板的JavaScript脚本中安全地使用`.env`文件中的环境变量的问题。由于客户端JavaScript无法直接访问服务器端环境变量，文章将详细介绍一种通过Django视图作为中间层，利用JSON响应将所需变量安全地暴露给前端的方法。该方法涉及配置`.env`文件、编写Django视图处理请求并返回JSON数据，以及在前端JavaScript中通过AJAX请求获取并使用这些变量，从而确保敏感信息不直接暴露在客户端代码中。

背景与挑战

在Web开发中，我们经常需要将敏感配置（如API密钥、客户端ID等）存储在.env文件中，以避免将其硬编码到代码库中，特别是在版本控制系统中。在Django项目中，这些环境变量通常在Python后端通过os.getenv()访问。然而，当需要在前端JavaScript脚本中使用这些变量时，直接在JavaScript中访问服务器端的.env文件是不可能的，也是不安全的。将这些凭据直接嵌入到前端代码中会导致安全漏洞，因为它们可以轻易地被用户通过浏览器开发者工具查看。

本文将介绍一种安全且推荐的方法，通过Django后端作为桥梁，将.env中的特定变量传递给前端JavaScript。

核心思路

解决方案的核心是利用Django视图作为代理。前端JavaScript向Django后端发起一个AJAX请求，Django视图负责从.env文件中读取所需的环境变量，然后将这些变量封装成JSON格式的数据返回给前端。前端JavaScript接收到JSON响应后，即可安全地使用这些数据。

立即学习“Java免费学习笔记（深入）”；

实施步骤

1. 配置.env文件

首先，确保您的.env文件中的变量值没有被引号包裹。python-dotenv库在读取时会正确处理这些值。

# .env 文件示例
GOOGLE_DRIVE_API_KEY=YOUR_GOOGLE_DRIVE_API_KEY
GOOGLE_DRIVE_API_CLIENT_ID=YOUR_GOOGLE_DRIVE_API_CLIENT_ID.apps.googleusercontent.com
GOOGLE_DRIVE_APP_ID=YOUR_GOOGLE_DRIVE_APP_ID

登录后复制

2. 创建Django视图（后端处理）

在Django项目的views.py文件中，创建一个视图函数来加载.env变量并将其作为JSON响应返回。

首先，确保您已安装python-dotenv：

AiPPT模板广场

AiPPT模板广场-PPT模板-word文档模板-excel表格模板

147

查看详情

pip install python-dotenv

登录后复制

然后，在views.py中实现视图：

# your_app/views.py
import os
from dotenv import load_dotenv
from django.http import JsonResponse
from django.views.decorators.http import require_GET

# 确保在Django应用启动时加载.env文件。
# 最佳实践是在项目的settings.py文件顶部调用load_dotenv()，
# 或者在manage.py和wsgi.py的开头调用。
# 这里为了示例，在视图中调用，但请注意其加载时机。
load_dotenv()

@require_GET
def get_google_drive_credentials(request):
    """
    从环境变量中获取Google Drive凭据，并以JSON格式返回。
    """
    google_drive_api_key = os.getenv('GOOGLE_DRIVE_API_KEY')
    google_drive_api_client_id = os.getenv('GOOGLE_DRIVE_API_CLIENT_ID')
    google_drive_app_id = os.getenv('GOOGLE_DRIVE_APP_ID')

    # 构建包含所需凭据的字典
    data = {
        'api_key': google_drive_api_key,
        'client_id': google_drive_api_client_id,
        'app_id': google_drive_app_id,
    }

    # 返回JSON响应
    return JsonResponse(data)

登录后复制

注意事项：

load_dotenv()应在Django应用启动时执行一次，而不是每次请求都执行。通常，它被放置在项目的settings.py文件顶部，或wsgi.py、asgi.py、manage.py的开头。
@require_GET装饰器确保此视图只响应GET请求，增加了安全性。
只返回前端确实需要的变量，不要暴露任何敏感的服务器端密钥。

3. 配置URL路由

在您的Django项目的urls.py文件或应用程序的urls.py文件中，添加一个URL模式来映射到刚刚创建的视图函数。

# your_project/urls.py 或 your_app/urls.py
from django.urls import path
from . import views # 假设视图在当前应用的views.py中

urlpatterns = [
    # ... 其他URL模式 ...
    path('api/google-drive-credentials/', views.get_google_drive_credentials, name='google_drive_credentials'),
]

登录后复制

4. 在Django模板中通过JavaScript获取变量（前端处理）

在您的Django模板（例如index.html）中，使用JavaScript发起AJAX请求到上面定义的URL，获取并使用凭据。

<!-- your_app/templates/index.html -->
<!DOCTYPE html>
<html>
<head>
    <title>Google Drive File Picker</title>
</head>
<body>
    <!-- 页面内容 -->

    <script>
        // 定义Google Drive API的授权范围
        var SCOPES = 'https://www.googleapis.com/auth/drive';

        // 发起AJAX请求以获取环境变量值
        var xhr = new XMLHttpRequest();
        xhr.onreadystatechange = function () {
            if (xhr.readyState === XMLHttpRequest.DONE) {
                if (xhr.status === 200) {
                    // 请求成功，解析JSON响应
                    var response = JSON.parse(xhr.responseText);

                    // 将获取到的凭据赋值给JavaScript变量
                    var API_KEY = response.api_key;
                    var CLIENT_ID = response.client_id;
                    var APP_ID = response.app_id;

                    // 此时，API_KEY, CLIENT_ID, APP_ID 变量已可用
                    console.log('Google Drive API Key:', API_KEY);
                    console.log('Google Drive Client ID:', CLIENT_ID);
                    console.log('Google Drive App ID:', APP_ID);

                    // 在这里初始化Google Drive File Picker或其他需要这些凭据的JavaScript逻辑
                    // 例如：
                    // gapi.load('picker', function() {
                    //     var picker = new google.picker.PickerBuilder()
                    //         .setAppId(APP_ID)
                    //         .setOAuthToken(gapi.auth.getToken().access_token)
                    //         .setDeveloperKey(API_KEY)
                    //         .addView(google.picker.ViewId.DOCS)
                    //         .setCallback(pickerCallback)
                    //         .build();
                    //     picker.setVisible(true);
                    // });

                } else {
                    // 请求失败
                    console.error('Failed to retrieve Google Drive credentials. Status:', xhr.status);
                }
            }
        };
        // 注意：这里的URL应该与urls.py中定义的路径一致
        xhr.open('GET', '/api/google-drive-credentials/', true); 
        xhr.send();
    </script>
</body>
</html>

登录后复制

总结与最佳实践

通过上述方法，我们实现了在Django模板的JavaScript脚本中安全地使用.env文件中的环境变量。这种方法的核心优势在于：

安全性： 敏感信息不会直接硬编码在客户端代码中，也不会在版本控制中暴露。它们只在服务器端被读取，并通过受控的JSON响应传递给前端。
可维护性： 配置集中管理在.env文件中，方便修改和部署到不同环境。
灵活性： 可以根据需要选择性地暴露不同的环境变量。

进一步的建议：

缓存机制： 如果这些凭据不经常变化，可以考虑在Django视图中添加缓存机制，避免每次请求都重新加载和处理。
错误处理： 在前端JavaScript中，务必添加健壮的错误处理逻辑，以防API请求失败。
只暴露必要信息： 再次强调，只将客户端JavaScript确实需要的信息暴露给前端。例如，Google Drive的API_KEY和CLIENT_ID通常是公开的，但如果是服务器到服务器认证的CLIENT_SECRET，则绝不能暴露。
CSRF防护： 对于POST请求，Django会自动处理CSRF令牌。对于GET请求，通常不需要CSRF防护，但如果你的GET请求会触发服务器端状态改变，则需要考虑。
CDN或CSP： 结合内容安全策略（CSP）和适当的CDN使用，可以进一步增强前端安全性。

遵循这些实践，您可以在确保安全性的同时，高效地在Django项目中管理和使用环境变量。

以上就是安全地在Django模板中调用JavaScript脚本中的环境变量的详细内容，更多请关注php中文网其它相关文章！