通过Django提供静态文件的安全性问题？

Question

在官方文档说的staticfiles serve查看:

......这种观点非常低效,可能不安全

此警告是否仅适用于此特定视图,或者是否存在通过Django提供静态文件的概念中固有的安全问题？这些是什么？假设我已经对我的应用程序进行了基准测试并且性能可以接受,那么我还应该注意其他任何问题吗？

Answer 1

这是不安全的,因为它不必是安全的

通过Django的静态文件服务意味着你通过Python代码做一些你的服务器会做显著更有效.

鉴于服务静态文件在性能方面是灾难性的,没有人会在生产中使用它.
因此,没有人关心在Django中提供静态文件的安全性.
因此,这种观点 可能不安全.

最终,它与开发服务器的理由相同.你不应该在生产中使用它而不是一个人致力于使其安全.它对开发来说很实用.

此外,低效的东西会让你暴露于DoS攻击.所以,是的,这是不安全的.

但你不应该使用它.

你为什么要通过Django提供静态文件？是否可以控制对这些文件的访问？

如果是,则应使用X-Accel-Redirect(Nginx)或X-Sendfile(Apache)标头.

但是不要自己动手,使用:https://github.com/johnsensible/django-sendfile