### Django 中 ALLOWED_HOSTS 的配置方法 `ALLOWED_HOSTS` 是 Django 设置中的一个重要参数，用于指定可以访问项目的主机名或域名列表。如果未正确配置 `ALLOWED_HOSTS`，可能会导致生产环境中无法正常访问网站。 #### 1. 基本概念 `ALLOWED_HOSTS` 参数是一个字符串列表，其中包含服务器允许接收请求的主机名或 IP 地址[^1]。当客户端向服务器发送请求时，Django 会验证 HTTP Host 头是否匹配此列表中的任意一项。如果不匹配，则返回错误页面（HTTP 400 Bad Request）。 #### 2. 配置示例 以下是几种常见的 `ALLOWED_HOSTS` 配置方式： ##### （1）允许特定域名访问 如果只想让某些特定域名能够访问项目，可以在 `settings.py` 文件中这样设置： ```python ALLOWED_HOSTS = ['example.com', 'www.example.com'] ``` ##### （2）允许所有子域名访问 通过通配符支持所有子域名访问同一站点： ```python ALLOWED_HOSTS = ['.example.com'] # 允许 example.com 及其所有子域名 ``` ##### （3）开发环境下的宽松配置 在本地开发阶段，通常不需要严格限制主机头，因此可暂时设为星号 (`*`) 表示接受任何主机名： ```python ALLOWED_HOSTS = ['*'] # 不建议在生产环境下使用 ``` 注意：这种做法仅适用于测试和调试目的，在实际部署到生产环境前应替换为更严格的规则[^2]。 ##### （4）IPv4 和 IPv6 地址的支持 对于基于 IP 访问的应用程序，也需要将其加入到该字段内： ```python ALLOWED_HOSTS = ['192.168.1.1', '[::1]'] # 同时包含了本地回环地址 ``` #### 3. 安全提示 - **切勿滥用通配符**：虽然可以用 `'*'` 开启无条件信任模式，但这会给恶意攻击者留下机会伪造 Host 字段实施进一步危害。 - **区分环境变量管理敏感数据**：推荐利用环境变量来动态调整这些值而不是硬编码于源码之中。 ```python import os from django.core.exceptions import ImproperlyConfigured def get_env_variable(var_name): try: return os.environ[var_name] except KeyError: error_msg = f"Set the {var_name} environment variable" raise ImproperlyConfigured(error_msg) ALLOWED_HOSTS = [get_env_variable('HOST_NAME')] ``` 以上代码片段展示了如何安全地读取操作系统级别的环境变量作为输入来源之一[^1]。