सुरक्षा

starlette-admin में administration panel चलाने से जुड़े जोखिमों के लिए safeguards बने होते हैं। Cross-site request forgery (CSRF) से सुरक्षा और export/import payload आकारों पर limits Admin क्लास instantiate होते ही सक्रिय हो जाती हैं।

ये defaults interface को common attacks के विरुद्ध मज़बूत बनाते हैं, पर ये standard deployment security का विकल्प नहीं हैं। Transport layer security (HTTPS/TLS), network access control, user authentication (Authentication देखें), dependency updates, और security reviews की ज़िम्मेदारी फिर भी आपकी है। यह पेज automatic protections, उन protections को कवर करता है जिन्हें आप configure करते हैं, और production के लिए आवश्यक secret_key setting को।

स्वतः क्या मिलता है

from sqlalchemy import create_engine
from starlette.applications import Starlette
from starlette_admin.contrib.sqla import Admin

engine = create_engine("sqlite:///admin.sqlite")
app = Starlette()
admin = Admin(engine, title="My Admin")
admin.mount_to(app)

कोई security parameter न होने पर भी admin instance कई common vulnerabilities से बचाता है:

• CSRF protection: हर form और jQuery AJAX call पर सक्रिय — row actions और confirmation dialogs सहित।
• Flash messages: signed cookie में carried, इसलिए SessionMiddleware की ज़रूरत नहीं।
• Filename sanitization: storage backend से गुज़रने वाले हर file upload पर लागू।
• Image content verification: Pillow इंस्टॉल होने पर ImageField uploads को byte level पर validate करता है।
• Export limits: resource exhaustion और denial of service से बचने के लिए per request 100,000 rows पर capped.
• Import limits: memory exhaustion सीमित करने के लिए per request 10 MB पर capped.

एक और protection उपलब्ध है, पर डिफ़ॉल्ट रूप से बंद: CSV और spreadsheet exports (XLSX, XLS, ODS) में spreadsheet formula injection रोकने वाला escaping। Formula injection देखें।

नीचे के sections इन protections को समझाते हैं और बताते हैं कि आपके नियंत्रण की thresholds कैसे adjust करें।

Secret key

admin = Admin(engine, title="My Admin", secret_key="a-long-random-string")

secret_key दो cookies पर signing का cryptographic आधार है: CSRF token और flash-message cookie। दोनों itsdangerous का उपयोग करते हैं, इसलिए clients cookies पढ़ तो सकते हैं पर key के बिना payload forge या tamper नहीं कर सकते।

CSRF protection

CSRFMiddleware cross-site request forgery रोकने के लिए signed double-submit cookie pattern का उपयोग करता है। यह safe HTTP methods (GET, HEAD, OPTIONS, और TRACE) पर starlette_admin_csrftoken cookie issue करता है। Mutating requests के लिए, वह उस cookie को X-CSRFToken header या csrftoken hidden form field के विरुद्ध validate करता है।

हर बिल्ट-इन admin template (create, edit, और login) hidden field आपके लिए render कर देता है:

{{ csrf_input(request) }}

Bundled JavaScript हर jQuery AJAX call में header attach करता है, इसलिए row actions और अन्य asynchronous interactions बिना extra code protected रहते हैं। csrf_input(request) स्वयं कॉल करें केवल तब जब default templates के बाहर custom forms बना रहे हों। Custom Views देखें।

File uploads

storage backend से गुज़रने वाला हर upload secure_filename से sanitized होता है। Directory traversal path components strip हो जाते हैं, और [A-Za-z0-9_.-] से बाहर के characters underscores (_) बन जाते हैं। इसे बंद नहीं किया जा सकता।

accept और max_size से content-type तथा size restrictions per field सेट करें:

from starlette_admin.fields import FileField


class DocumentView:
    invoice = FileField(accept=".pdf,.docx", max_size=5 * 1024 * 1024)  # 5 MB limit

इनके बिना FileField कोई भी file type और size स्वीकार करता है। ImageField अपवाद है: उसका default accept="image/*" है, और Pillow इंस्टॉल होने पर वह ऐसा validator prepend करता है जो upload को PIL.Image से खोलकर पुष्टि करता है कि bytes image के रूप में decode होते हैं — browser-supplied metadata पर भरोसा करने के बजाय।

import filetype
from starlette.datastructures import UploadFile
from starlette.requests import Request
from starlette_admin.fields import BaseField

ALLOWED_DOCUMENT_MIME_TYPES = {
    "application/pdf",
    "application/msword",
    "application/vnd.openxmlformats-officedocument.wordprocessingml.document",
}

def validate_document_type(
    request: Request, field: BaseField, upload: UploadFile, form_values: dict
) -> None:
    upload.file.seek(0)
    try:
        header = upload.file.read(2048)
        kind = filetype.guess(header)
        detected = kind.mime if kind else "application/octet-stream"
    finally:
        upload.file.seek(0)

    if detected not in ALLOWED_DOCUMENT_MIME_TYPES:
        raise ValueError(
            f"Invalid file type '{detected}'. Only PDF, DOC, and DOCX are allowed."
        )

Export limits

from starlette_admin.export import ExportConfig

admin = Admin(engine, title="My Admin", export_config=ExportConfig(max_rows=50_000))

ZIP bundle कैसे बनता है, इसके लिए Export & Import देखें।

Formula injection

Spreadsheet software किसी cell value को जो =, +, -, या @ से शुरू होती है, formula की तरह treat करता है। यदि कोई untrusted user exported field में =HYPERLINK(...) जैसा payload save कर दे, तो administrator द्वारा file खोलने पर spreadsheet application उसे run कर देता है। इसे CSV injection, या formula injection कहते हैं।

Exported values database में stored हुए ठीक उसी रूप में लिखे जाते हैं, इसलिए formula escaping डिफ़ॉल्ट रूप से बंद है। CSV exporter और Tablib spreadsheet exporters (xlsx, xls, और ods) सभी escape_formulas parameter स्वीकार करते हैं। इसे चालू करने पर trigger character से शुरू होने वाली किसी भी string के आगे single quote (') लग जाता है, जो application को उस value को plain text की तरह render करने के लिए मजबूर करता है।

Escaping चालू करने के लिए format string को explicit exporter instance से बदलें:

from starlette_admin.contrib.sqla import ModelView
from starlette_admin.export import CsvExporter, TablibExporter


class ProductView(ModelView):
    exporters = [
        CsvExporter(escape_formulas=True),
        TablibExporter("xlsx", escape_formulas=True),
        "json",
    ]

Import limits

from starlette_admin.importers import ImportConfig

admin = Admin(
    engine,
    title="My Admin",
    import_config=ImportConfig(
        max_upload_size=5 * 1024 * 1024,
        max_rows=50_000,
    ),
)

Import ZIP archives को outright reject करता है, जिससे इस endpoint पर ZIP-bomb attacks का जोखिम समाप्त हो जाता है। Bulk imports से FileField और ImageField भी excluded हैं — डिफ़ॉल्ट रूप से exclude_from_import=True — इसलिए users files को create/edit फ़ॉर्म से एक-एक करके attach करते हैं।

इस पेज में क्या शामिल नहीं

Built-in protections admin codebase के अंदर के risks address करती हैं। वे आपकी architecture को पूरे में secure नहीं बनातीं। ये operational measures starlette-admin के scope से बाहर हैं और आपकी ही ज़िम्मेदारी रहती हैं:

• Transport security: Admin को HTTPS पर serve करें। CSRF और flash cookies signed हैं, encrypted नहीं — plain HTTP traffic intercept करने वाला कोई भी उन्हें पढ़ सकता है।
• Authentication और authorization: जब तक आप AuthProvider attach नहीं करते, Admin instance public रहता है। इसके बिना हर endpoint और route open रहता है। Authentication देखें।
• Network exposure: यदि admin panel को public access नहीं चाहिए, तो उसे firewall, VPN, या IP allowlist के पीछे रखें।
• Dependency hygiene: Security advisories पर नज़र रखें और starlette-admin, Starlette, अपने ORM driver, और बाकी dependencies को up to date रखें।
• Post-authentication actions: CSRF और upload validation signed-in user को क्या करने से रोकती नहीं। Granular access control पूरी तरह आपके द्वारा is_accessible, can_create, can_edit, और can_delete में लिखे permission checks से आती है। Authentication देखें।

इस पेज को admin package configure करने की guide समझें — पूरे production deployment को secure करने की checklist नहीं।

आगे क्या

• Export & Import: Export dialog, import preview lifecycle, और ZIP bundle layout.
• File Storage: FileField और ImageField के लिए storage backends configure करने के patterns.
• Authentication: Auth provider जोड़ने के बाद secret_key sign-in sessions और CSRF checks को कैसे gate करता है।