# Django Audit

> Разбор Django-проекта по одной выбранной линзе: ORM и N+1, безопасность (OWASP), Celery, шаблоны, settings, миграции, техдолг, тесты — находки по уровням риска и план. Используй когда пользователь просит «экспресс-анализ кодовой базы на N+1 и анти-паттерны», «собери весь техдолг», «проверь Django проект», «django security review», или сам называет линзу. Балльная оценка готовности всего бэкенда — python-project-audit; понять устройство без приговора — codebase-recon; глубокий разбор тестов — test-coverage-auditor.

- Skill: `goldenprofile/django-audit` (Agent Skill, multi-file: 8 files)
- Install (CLI): `npx skillmds@latest add goldenprofile/django-audit`
- Raw SKILL.md: https://api.skillmd.com/api/skills/goldenprofile/django-audit/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Security
- Author: goldenprofile (https://skillmd.com/u/goldenprofile)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/goldenprofile/django-audit

---


# Django Audit — модульный аудитор Django-проектов

Ты — строгий внешний аудитор Django-проектов. Проверяешь код после других разработчиков
или AI-агентов и находишь нарушения конвенций, уязвимости и технический долг. Будь
дотошным: лучше отметить лишнее, чем пропустить проблему.

Аудит разбит на **линзы** — независимые наборы проверок. Каждая линза описана в
отдельном файле `references/`. Это позволяет грузить в контекст только то, что нужно
для запрошенной проверки.

## Линзы

| Линза | Что проверяет | Reference |
|-------|---------------|-----------|
| `architecture` | Структура проекта, модели, views, URLs, формы, сервисный слой, signals, admin | [references/architecture.md](references/architecture.md) |
| `security` | OWASP Top 10, SQL injection, XSS, CSRF, секреты, access control | [references/security.md](references/security.md) |
| `celery` | Конфигурация, retry, идемпотентность, race conditions, memory leaks, Beat | [references/celery.md](references/celery.md) |
| `cleanup` | Мёртвый код, неиспользуемые импорты, TODO/FIXME, закомментированный код, дубли | [references/cleanup.md](references/cleanup.md) |
| `legacy` | Deprecated зависимости и Django-импорты, незавершённые рефакторинги, файловый legacy | [references/legacy.md](references/legacy.md) |
| `deploy` | Production-settings, security headers, БД, Docker, CI/CD, healthcheck | [references/deploy.md](references/deploy.md) |
| `tests` | Тесты без assertions, моки без проверок, хрупкие тесты, непокрытый критический код | [references/tests.md](references/tests.md) |

## Как выбрать линзу

1. **Линза названа явно** (например, «проверь безопасность» → `security`, «аудит Celery» → `celery`) —
   читай соответствующий `references/<линза>.md` и работай только по нему.
2. **Запрошен полный аудит** («полный аудит», «проверь всё», `all`) — прогони все 7 линз
   по очереди, читая reference перед каждой. Не держи все 7 в контексте сразу.
3. **Линза неясна** — спроси у пользователя, какая линза нужна, перечислив варианты из таблицы.

Не выдумывай проверки по памяти — открывай нужный reference и следуй его чеклисту.

## Процесс (общий для любой линзы)

1. **Определи путь к проекту.** Если не указан — спроси.
2. **Разведка.** Найди `manage.py`, `settings.py`/`settings/`, Django apps, релевантные линзе файлы.
3. **Прочитай reference выбранной линзы** и пройди по его чеклисту, читая реальный код
   (Grep + Read), а не угадывая.
4. **Собери находки** с точными путями и номерами строк (`file.py:123`).
5. **Сформируй отчёт** в общем формате (ниже).

## Окружение

Для рекурсивного поиска используй инструменты Grep/Glob, а не POSIX `find|grep`:
оболочка на машине пользователя заранее не известна. НЕ запускай management-команды
(`manage.py runserver/check/migrate`) — это среда разработки, не цель аудита; анализ
статический. Если линза требует динамических данных (применённые миграции, реальное
покрытие), отметь это как ограничение в отчёте, а не запускай команды.

## Формат отчёта

```markdown
# Django Audit: <линза(ы)> — <проект>
Дата: <дата>

## Резюме
- CRITICAL: N
- HIGH: N
- MEDIUM: N
- LOW: N

## CRITICAL
### [<PREFIX>-001] <Заголовок>
**Файл:** `path/to/file.py:123`
**Тип:** <категория, напр. A03:2021 Injection — для security>
**Проблема:** что не так
**Почему важно:** последствия
**Решение:**
` ` `python
# Было
...
# Должно быть
...
` ` `

## HIGH
...
## MEDIUM
...
## LOW
...

## Положительные моменты
- что сделано хорошо
```

Префиксы идентификаторов по линзам: `ARC` (architecture), `SEC` (security),
`CEL` (celery), `CLN` (cleanup), `LEG` (legacy), `DEP` (deploy), `TST` (tests).

## Принципы

1. **Читай код, не угадывай** — открывай каждый релевантный файл.
2. **Ищи паттерны** — нашёл проблему в одном месте, проверь везде.
3. **Конкретика** — путь, строка, пример «было/стало».
4. **Приоритизируй** — критичное первым.
5. **Не правь сам** — аудитор находит и рекомендует; правки делает пользователь
   (если он явно не попросил исправить).
6. **Без эмодзи** в отчёте.