为什么我的django允许在静态文件夹之外下载文件？

Question

我的django项目允许从静态文件夹下载图像：

http://0.0.0.0:8001/static/img/login.png

这说得通。

但让我担心的是，它还允许我下载文件，即使是在静态文件夹之外，例如：

http://0.0.0.0:8000/logs/result.log

甚至更糟的是：

http://0.0.0.0:8000/users/models.py

我所有的本地文件都可以通过客户端下载。

这是一个高度安全漏洞。不管我的文件夹在我的Linux服务器上有什么权限。我的道路上没有这样的项目，我也不期望这些道路得到服务。

我怎么才能解决这个问题？

BASE_DIR = Path(__file__).resolve().parent.parent

DEBUG = True

INSTALLED_APPS = [
        'comments',
        'home',
        'users',
        'articles',
        'notifications',
        'django.contrib.admin',
        'django.contrib.auth',
        'django.contrib.contenttypes',
        'django.contrib.messages',
        'django.contrib.sessions',
        'django.contrib.staticfiles',
        'static_precompiler',
        'django_markup',
        'django_minify_html',
        'django_rename_app',
    ]

MIDDLEWARE = [
        'django.middleware.security.SecurityMiddleware',
        'django.contrib.sessions.middleware.SessionMiddleware',
        'django.middleware.common.CommonMiddleware',
        'django.middleware.csrf.CsrfViewMiddleware',
        'django.contrib.auth.middleware.AuthenticationMiddleware',
        'django.contrib.messages.middleware.MessageMiddleware',
        'django.middleware.clickjacking.XFrameOptionsMiddleware',
        'django_minify_html.middleware.MinifyHtmlMiddleware',
    ]

ROOT_URLCONF = 'profplus.urls'

TEMPLATES = [
        {
            'BACKEND': 'django.template.backends.django.DjangoTemplates',
            'DIRS': ["templates"],
            'APP_DIRS': True,
            'OPTIONS': {
                'context_processors': [
                    'django.template.context_processors.debug',
                    'django.template.context_processors.request',
                    'django.contrib.auth.context_processors.auth',
                    'django.contrib.messages.context_processors.messages',
                ],
            },
        },
    ]

WSGI_APPLICATION = 'profplus.wsgi.application'


STATIC_URL = 'static/'
STATIC_ROOT = os.path.join(BASE_DIR, 'static')
STATICFILES_FINDERS = [
        'django.contrib.staticfiles.finders.FileSystemFinder',
        'django.contrib.staticfiles.finders.AppDirectoriesFinder',
        'static_precompiler.finders.StaticPrecompilerFinder',
    ]

Answer 1

根据官方文件：如何管理静态文件

除了这些配置步骤之外，您还需要实际提供静态文件。在开发期间，如果使用django.contrib.staticfiles，当调试设置为True时，运行服务器将自动完成此操作(请参见django.contrib.staticfiles.views.serve())。这种方法效率很低，而且可能不安全，因此不适合生产.。

尽管如此，没有人关心在Django中提供静态文件的安全性，您不应该在生产中使用它。使用专用服务器提供静态文件，如何在生产中部署静态文件

Answer 2

这里好像有个错字？

TEMPLATES = TEMPLATES = [
    {
        'BACKEND': 'django.template.backends.django.DjangoTemplates',
        'DIRS': ["templates"],
        'APP_DIRS': True,
        'OPTIONS': {
            'context_processors': [
                'django.template.context_processors.debug',
                'django.template.context_processors.request',
                'django.contrib.auth.context_processors.auth',
                'django.contrib.messages.context_processors.messages',
            ],
        },
    },
]

它应该只有一个单词模板，DIRS应该是这样的绝对路径：

 TEMPLATES = [
    {
        'BACKEND': 'django.template.backends.django.DjangoTemplates',
        'DIRS': [os.path.join(BASE_DIR, "templates"),],
        'APP_DIRS': True,
        'OPTIONS': {
            'context_processors': [
                'django.template.context_processors.debug',
                'django.template.context_processors.request',
                'django.contrib.auth.context_processors.auth',
                'django.contrib.messages.context_processors.messages',
            ],
        },
    },
]

在生产中，您可以使用Nginx部署应用程序，如果设置正确，则应拒绝在urls.py中未声明的所有路径。

希望这能有所帮助。

Answer 3

您没有为生产正确地配置静态文件设置。您应该在Nginx中直接提供静态文件。

nginx配置：

server {
    ....
    location /static/ {
          alias /app/staticfiles/;
    }
}

当一个请求被发送到/ sent / --例如，/sent/base.css --时，Nginx将尝试从"/app/staticfiles/“文件夹中为该文件提供服务。

有关更多信息的链接：https://docs.djangoproject.com/en/4.0/ref/contrib/staticfiles/ https://testdriven.io/blog/django-static-files/