django - 通过 Django 提供静态文件的安全问题？

Question

official docs比如说，静态文件 serve看法:

... this view is grossly inefficient and probably insecure

此警告仅适用于此特定 View ，还是通过 Django 提供静态文件的概念中存在固有的安全问题？这些是什么？假设我已经对我的应用程序进行了基准测试并且性能是可以接受的，还有其他我应该注意的问题吗？

Answer 1

它是不安全的，因为它不一定是安全的

通过 django 提供静态文件意味着你通过 Python 代码来做一些你的网络服务器会做的事情 显着更有效率。

鉴于提供静态文件在性能方面是灾难性的，没有人会在生产中使用它。
因此，没有人关心在 Django 中提供静态文件的安全性。
因此，这种观点可能是不安全的。

最终，它与开发服务器的基本原理相同。您不应该在生产中使用它，也没有人致力于使其安全。它只是开发实用。

此外，一些低效的东西会使您暴露在 DoS 攻击中。所以是的，这是不安全的。

但你不应该使用它。

为什么要通过 Django 提供静态文件？是为了控制对这些文件的访问吗？

如果是，您应该使用 X-Accel-Redirect (Nginx) 或 X-Sendfile (Apache) header 。

但不要自己动手，使用:https://github.com/johnsensible/django-sendfile