filefield 和 imagefield 在数据库中仅存储文件路径字符串，实际文件由 default_storage 后端写入磁盘或远程存储；删除数据库记录不会自动删除文件，修改字段值也不会移动原文件；media_root 需设绝对路径并确保写权限，media_url 必须以 / 开头结尾，且开发时需在 urlconf 中显式配置 static() 服务媒体文件，生产环境应由 nginx/apache 托管；request.files 中的文件对象需通过模型字段 save() 或 default_storage.save() 安全保存，不可直接用 open() 写入；视图中须手动校验文件大小、content_type 及图像有效性（如 pil.verify()），html 表单必须设置 enctype="multipart/form-data"。
上传文件时 FileField 和 ImageField 实际存的是什么
它们在数据库里只存路径字符串（比如 "uploads/avatar/2024/05/photo.jpg"），不是二进制数据。真正文件写到磁盘或远程存储，靠的是 default_storage 后端处理。
这意味着：删数据库记录 ≠ 删文件；改字段值 ≠ 自动移动原文件；迁移或备份时得同步处理媒体文件目录。
- 默认用
FileSystemStorage，文件落地在MEDIA_ROOT下 -
ImageField会额外调用 Pillow 校验头信息，但不会自动压缩或转格式 - 如果用了 S3 或 MinIO，
default_storage换成对应后端，路径仍是相对的，只是写入目标变了
request.FILES 拿到的文件对象怎么安全保存
Django 不会自动把 request.FILES 里的文件写到磁盘——它只是个类似文件的流对象，需要显式调用 save() 或手动写入。
常见错误是直接读取 file.read() 再用 Python 原生 open() 写，这绕过了 Django 的存储抽象，导致路径不一致、权限错乱、S3 失效。
- 正确做法：传给模型字段的
save()方法，例如my_model.image.save("name.jpg", file_obj, save=True) - 如果没模型，用
default_storage.save("path/to/name.jpg", file_obj) - 注意
file_obj是InMemoryUploadedFile或TemporaryUploadedFile，不能重复读取，读完就空了 - 大文件（>2.5MB）可能进临时文件，
file_obj.temporary_file_path()可查位置，但别硬链接或移动它
MEDIA_URL 和 MEDIA_ROOT 配置容易漏掉的点
开发时静态文件走 runserver 自动服务，但媒体文件不会——你必须显式在 URLconf 里加 static(settings.MEDIA_URL, document_root=settings.MEDIA_ROOT)，否则浏览器访问 /media/xxx.jpg 直接 404。
生产环境更麻烦：Nginx/Apache 必须接管 MEDIA_URL 路径，Django 不该处理媒体文件响应。
-
MEDIA_ROOT必须是绝对路径，推荐用BASE_DIR / "media"构造 -
MEDIA_URL必须以/开头且结尾带/（如"/media/"），不然模板里{{ obj.file.url }}拼出来地址错位 - DEBUG=False 时，
runserver完全不服务媒体文件，本地测试也得配好 URLconf，否则以为代码有问题 - 上传目录（
MEDIA_ROOT）要确保 Web 进程有写权限，Linux 下常踩PermissionError: [Errno 13]
前端表单和视图里几个关键校验没做就会出事
光靠 ImageField 的 validators 不够——它只在校验模型 full_clean() 或 admin 提交时触发，API 视图或自定义上传逻辑里不自动跑。
用户传个超大 ZIP 当图片、或改后缀骗过浏览器，后端不拦住，轻则填满磁盘，重则触发 OOM。
- 在视图里手动检查：
if file_obj.size > 5 * 1024 * 1024:（限制 5MB） - 用
file_obj.content_type做白名单（如只允许"image/jpeg","image/png"），别信后缀名 - 对
ImageField，用PIL.Image.open(file_obj)尝试打开并.verify()，捕获IOError或SyntaxError - 上传字段 HTML 必须带
enctype="multipart/form-data"，漏了整个request.FILES就是空的
路径拼接、权限、存储后端切换、前端约束——这些地方任意一个松动，上传功能就从“能跑”变成“线上事故预备队”。尤其多人协作时，有人改了 MEDIA_ROOT 却忘了同步 Nginx 配置，或者加了个新 API 但没补文件大小检查，问题往往卡在最不显眼的位置。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
