为什么Django函数django.views.static.serve()是不安全的？

Question

根据使用django.views.static.server()函数的文档是:

低效和不安全.

我明白为什么它效率低下,但它在哪个方面呢insecure？

Answer 1

它与Django测试服务器本身一样不安全,对于初学者来说,就像上面的回答所说的那样 - 也就是说,它没有像CherryPy这样的"生产就绪"服务器进行任何类型的安全性测试.因此,用户访问他们无法访问的文件时可能存在各种潜在的安全问题; 虽然这些通常都是固定的,但它们并不像生产服务器那样被视为"优先",而且没有人真正想要它来寻找这些东西.

此外,请参阅今年夏天的Django安全更新,修复了恶意制作的URL可以让访问者访问Django用户可以看到的任何文件的情况,即使它不在静态根目录下.它已修复,但应该让您了解为什么要在生产环境中使用Real Server.