应使用send_from_directory替代send_file并配合路径校验与流式传输：先过滤非法字符，再用realpath+commonpath确保路径在白名单目录内，大文件需response流式返回避免内存溢出。
send_file 传本地文件时路径穿越漏洞怎么防
直接用 send_file 返回用户指定路径的文件，等于把服务器文件系统裸露给请求参数——filename=../../etc/passwd 就能读到敏感配置。这不是“可能出问题”，而是只要没做校验，必然被利用。
- 永远不要拼接用户输入进文件路径：
os.path.join(UPLOAD_FOLDER, request.args.get('file'))是高危写法 - 必须用
os.path.realpath+os.path.commonpath做路径规范化和白名单校验 - 推荐只允许从预设目录（如
DOWNLOADS_DIR）下发，且强制限定后缀（如仅.pdf,.csv）
# 安全示例：校验路径是否落在 DOWNLOADS_DIR 下
filename = request.args.get('file', '')
safe_path = os.path.realpath(os.path.join(DOWNLOADS_DIR, filename))
if os.path.commonpath([safe_path, DOWNLOADS_DIR]) != DOWNLOADS_DIR:
abort(404)
return send_file(safe_path)
send_from_directory 为什么比 send_file 更适合静态资源下载
send_from_directory 内置了路径安全检查，它不信任任何传入路径，只接受一个「根目录」+ 一个「相对子路径」，自动拒绝向上跳转。而 send_file 是完全自由的文件句柄操作，责任全在开发者。
-
send_from_directory的directory参数必须是绝对路径，filename必须是相对路径（不能含..或/开头） - 它会自动调用
os.path.join(directory, filename)并做os.path.isabs和规范化判断，失败直接 404 - 但注意：如果
filename来自用户输入，仍需先过滤掉非法字符（如\,..），否则 Windows 下可能绕过
@app.route('/download/<filename>')
def download_file(filename):
# 先简单清洗
if '..' in filename or filename.startswith('/'):
abort(404)
return send_from_directory(DOWNLOADS_DIR, filename)</filename>
Content-Disposition 中 filename* 和 filename 字段怎么选
浏览器对中文文件名支持不一：老版本 IE 只认 filename（ASCII），现代浏览器优先用 filename*（RFC 5987 编码）。Flask 的 send_file 默认只设 filename，导致中文名下载变成乱码或默认名。
- 手动构造
Content-Disposition头最稳妥，用filename*传 UTF-8 编码值，同时保留filename作降级 - 别用
urllib.parse.quote直接编码——它不满足 RFC 5987 要求；改用urllib.parse.quote配合encoding='utf-8'+ 前缀UTF-8'' - 注意 Nginx 等反向代理可能覆盖响应头，此时要在代理层显式透传或禁用其重写
from urllib.parse import quote
def safe_filename_header(filename):
encoded = quote(filename.encode('utf-8'))
return f'attachment; filename="{filename}"; filename*=UTF-8''{encoded}'
大文件下载卡顿、内存爆满怎么办
send_file 默认把整个文件读进内存再发，100MB 文件就吃掉 100MB RAM；并发一多，服务直接 OOM。这不是性能问题，是架构错误。
- 务必加
as_attachment=True和conditional=True，启用 HTTP Range 支持，让浏览器可断点续传 - 对 >10MB 的文件，用
use_x_sendfile=True（需 Nginx/Apache 配合）或直接返回Response流式对象 - 避免用
io.BytesIO加载大文件到内存；改用open(..., 'rb')+Response的direct_passthrough=True
def stream_file(filepath):
def generate():
with open(filepath, 'rb') as f:
while chunk := f.read(8192):
yield chunk
return Response(generate(), direct_passthrough=True, mimetype='application/octet-stream')
路径校验和流式传输这两步，漏掉任意一个，在真实业务里都撑不过一次安全扫描或压测。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
