python - Django 文件上传输入验证和安全

Question

我正在创建一个非常简单的django 上传应用程序，但我希望它尽可能安全。这是应用程序将完全是一种方式，IE。任何上传文件的人都永远不必检索它。到目前为止，我已经完成了以下工作:

1. 禁止某些文件扩展名(.php、.html、.py、.rb、.pl、.cgi、.htaccess 等)
2. 设置最大文件大小限制和文件名字符长度限制。
3. 密码保护文件上传到的目录(.htaccess 归根所有，因此网络服务器不可能覆盖它)

假设 apache 和 mod_python 位于此前端并且 apache 本身已受到保护，是否还有其他“最佳实践”我应该做或考虑来保护我的应用程序？

提前致谢。

Answer 1

不允许文件扩展名——可能——是在浪费时间。 unix 服务器不使用扩展——它使用所有权和权限。

接受上传时，您通常会重命名文件以防止其被滥用。上传的文件应简单命名为“upload_xxx”，其中“xxx”是提供声明名称和数据类型的某些数据库记录的键。

您必须实际阅读该文件并确认该文件的内容是否如某人所声称的那样。

例如，如果他们声称要上传 .JPG，您必须实际阅读该文件以确保它是 JPEG，而不是 .EXE。