第九站：测试与安全
本站把前八站的行为变成回归证据，并以 Django 6.0 CSP 为新增安全能力建立渐进启用流程。
最小验证
bash
python -Wd manage.py test
python manage.py check
python manage.py check --deploy专题：测试矩阵、安全边界与 CSP ｜ 上传、日志与依赖安全
交付物
- 模型、服务、页面、API、权限、缓存和任务均有失败路径测试。
- 关键列表有查询数预算；目标数据库有迁移与并发测试。
- 日志不包含密码、Cookie、完整 token 或敏感正文。
- CSP 先 report-only 观察，再收紧并启用执行策略。
版本边界
内置 CSP 是 Django 6.0 新能力。5.2 LTS 保持现有代理或经过审查的第三方方案，不复制 6.0 settings 假装可用。
练习（先做）
- 为对象越权、CSRF、非法 JSON 和重复任务建立测试矩阵。
- 配置 report-only CSP，证明响应头存在。
- 让一个测试故意触发 N+1，再修到查询预算内。