Django 识别文件模式

Question

我正在实现一种方法来限制在运行 Python 3.4 的 Django 1.8 上上传文件。

基本上，当他们使用 mimetypes 上传时，我想检查文件的 MIME 类型。但是，当我将文件名从bad_image.exe 修改为bad_image.exe.jpg 时，MIME 类型仍然是image/jpeg。这仍然可能导致恶意攻击。

有没有办法真正实现这个？

Answer 1

您可以通过设置要禁止的 MIME 类型黑名单来反向执行检查。然后，对于这些 MIME 类型中的每一个，使用例如

mimetypes.guess_all_extensions('application/x-msdownload')

生成可能是恶意扩展的列表，然后您可以在上传的文件名中进行搜索。

警告。

依靠文件名和 MIME 类型来防御恶意上传是 not safe practice .至少，在单独的域中对用户上传内容进行沙盒处理可以防止任何穿过您的防御系统的恶意代码攻击您的网站。