分析Django应用程序的URL

在我的带有postgres后端的Django应用程序中，存在公共或私人组，用户可以在其中相互发布消息。公共组可以用url表示：

/group/49caad6b-6dbf-47eb-b5ce-335ac08d4ae6/public/

查看我的nginx

access.log

，我有时会看到：

173.252.74.97 - - [04/Feb/2016:18:04:24 +0000] "GET /group/49caad6b-6dbf-47eb-b5ce-335ac08d4ae6/public/?_h=1&mse=AaE9BlxxTcQLY6k4n46RZ7VOzn98_RZH3-VuGyQbEpb3y66igoexzqhNJLIa557GLsdQNTVuVBcM3GyAsBzv0aJ7fla7TaSYpuFmLKQG3e7qLLEwXhy2hTOzU9F66Y37GwUbgt_RCWmxH2JFv8M0ezl-w_E9rZEWQirI9hhEC8_kd5LzafpcHShcVF4gbspu8cbh3VvssKEUtuyYybHupNaoRzx0H689PWpO6I9hxs6yvO-nF6mIA5vUVmKz3SPpXi8 HTTP/1.1" 200 11777

---

随URL附加的是什么？这是恶意的吗？如果是这样，我的下一步是什么？

您看到的url附加了两个get参数

_h=1
mse=AaE9BlxxTc.......d5LzafpcHShcVF4gbsp....HupNaoRzx0...s6yvO-nF6mIA5vUVmKz3SPpXi8

（为了简洁起见，降低了mse）

如果我猜测一下，在我看来，似乎有人试图从群中获取消息，或者更可能通过尝试查看您是否允许用户使用get请求发布数据（以发送垃圾邮件）来测试您的群

你有什么要担心的吗

现在不行！Django做的正是Django做得最好的，它通过确保您在需要的地方使用post请求来提供针对此类机器人/人类的保护

---

我只会在你突然发现垃圾邮件发送者赢了的时候才开始担心，但我认为如果这是他们一直在努力的话，在这之前你还有足够的时间。

我不能肯定地说，但它只是看起来像一些编码的信息。该url使用任何get参数吗

\u h

和

mse

可能吗？@Sayse:不，没什么了不起的我认为如果你没有使用任何

GET

参数，你就没有什么可担心的了。这不是某种XSS攻击的特征，嗯？免责声明：我可能错了，这只是一个有根据的猜测。。