Python Django如何处理文件上传_配置Media存储与安全校验策略-Python教程-PHP中文网

mediaroot 和 mediaurl 必须成对配置，缺一不可；文件名需脱敏并校验扩展名；大文件上传需同步调大 nginx、wsgi 和 django 三层限制；upload_to 函数必须接收 instance 和 filename 并返回不含 media_root 的相对路径。

python django如何处理文件上传_配置media存储与安全校验策略

MediaRoot 和 MediaUrl 必须成对配置，缺一不可

只设 MEDIA_ROOT 不设 MEDIA_URL，或反过来，Django 就不会生成可访问的文件 URL。浏览器请求上传后的图片时会 404，但后台保存其实成功了——这最容易让人误以为“上传失败”。

典型错误配置：

DEFAULT_FILE_STORAGE = 'django.core.files.storage.FileSystemStorage'
MEDIA_ROOT = '/var/www/myapp/media/'
# 忘了 MEDIA_URL！

正确做法：

MEDIA_ROOT 指向服务器上真实存在的绝对路径（如 /opt/myproject/media/），Django 用它存文件
MEDIA_URL 是 URL 前缀（如 /media/），必须以 / 开头和结尾，且要和 Web 服务器（Nginx/Apache）的静态路由对齐
开发时用 django.urls.path 补上 media 路由：urlpatterns += static(settings.MEDIA_URL, document_root=settings.MEDIA_ROOT)
生产环境绝不能靠 Django serve media，必须由 Nginx 直接映射：location /media/ { alias /opt/myproject/media/; }

文件名不 sanitise 会导致路径遍历或覆盖风险

Django 默认保留原始上传文件名，request.FILES['file'].name 可能是 ../../etc/passwd 或 avatar.jpg 后面拼了空格和控制字符。不做处理直接拼进 os.path.join(MEDIA_ROOT, name)，就可能写到任意目录。

安全做法不是简单删掉点号或斜杠，而是彻底剥离原始名、生成可控文件名：

Django Unfold

提供使用 django-unfold (v0.56+) 构建高级 Django 管理界面的专业指导。当用户提及 django-unfold、unfold admin 等内容时使用此技能。

下载

用 uuid.uuid4() 或 secrets.token_urlsafe(16) 生成唯一前缀
从原始名提取扩展名：用 os.path.splitext(original_name)[1].lower()，再白名单校验（如只允许 .jpg .pdf）
别信 Content-Type，它由客户端伪造；必须用 python-magic 或 imghdr 检查文件头
示例：保存时用 f"{uuid4()}_{clean_ext}"，原始名存进数据库字段供展示

大文件上传卡住？重点调三个地方：Web 服务器、WSGI 和 Django

用户传 50MB 文件时前端没反应、Nginx 报 413、Gunicorn 日志卡在 read header——这不是代码问题，是链路里某处默认限制太紧。

逐层检查：

Nginx：client_max_body_size 100M;（加在 http 或 server 块），还要确认 client_body_timeout 300;
Gunicorn：--timeout 300 --keep-alive 5，避免长上传被杀；--max-requests 1000 防内存泄漏
Django：DATA_UPLOAD_MAX_MEMORY_SIZE（默认 2.5MB）和 FILE_UPLOAD_MAX_MEMORY_SIZE（默认 2.5MB）需同步调大，否则文件还没到磁盘就被截断
额外提醒：如果用 StreamingHttpResponse 返回上传结果，别在视图里先 .read() 整个文件，会吃光内存

ModelFileField 的 upload_to 是函数时，参数和返回值有隐含规则

写成 upload_to=my_upload_func 很方便，但很多人不知道 my_upload_func 的签名和返回值会被 Django 严格解析——错一个字符就静默失效，文件全堆在 MEDIA_ROOT 根目录。

必须满足：

函数接收两个参数：instance（当前 Model 实例）和 filename（原始文件名，不是路径）
返回值必须是相对路径字符串，**不含 MEDIA_ROOT 前缀**，也不能以 / 开头（否则 Django 会忽略）
例如想按用户 ID 分目录：return f"user_{instance.user_id}/avatars/{uuid4()}.jpg"
注意：instance 此时可能还没 save（比如新建对象），instance.pk 是 None，得用 instance.user_id 这类已知字段