django - 为什么 Django 函数 django.views.static.serve() 不安全？

Question

According to the Documentation使用 django.views.static.server() 函数是:

inefficient and insecure.

我明白为什么它效率低下，但它在哪方面不安全？

Answer 1

对于初学者来说，它与 Django 测试服务器本身一样不安全，就像上面的答案所说的那样——也就是说，它没有像 CherryPy 这样的“生产就绪”服务器那样进行任何类型的安全测试。因此，用户访问他们不应该访问的文件时可能会存在各种潜在的安全问题；虽然这些通常是固定的，但它们并不像生产服务器那样被视为“优先级”，而且没有人真正在它上面寻找这些东西。

此外，请参阅今年夏天的 Django security update修复了恶意制作的 URL 可以让访问者访问 Django 用户可以看到的任何文件的情况，即使它不在静态根目录下。它已修复，但应该让您了解为什么应该在生产设置中使用真实服务器。