Почему мой django позволяет загружать файлы вне папки static?

Мой проект django позволяет загружать изображения из статической папки:

http://0.0.0.0:8001/static/img/login.png

Это имеет смысл.

Но меня беспокоит то, что он также позволяет мне загружать файлы даже за пределами статической папки, такие как:

http://0.0.0.0:8000/logs/result.log

или еще хуже:

http://0.0.0.0:8000/users/models.py

Все мои локальные файлы могут быть загружены через клиенты.

Это уязвимость высокой степени безопасности. Неважно, какое разрешение у моих папок на моем Linux-сервере. У меня нет таких элементов в моем пути, и я не ожидаю, что эти пути будут обслуживаться.

Как я могу это исправить? 



BASE_DIR = Path(__file__).resolve().parent.parent

DEBUG = True

INSTALLED_APPS = [
        'comments',
        'home',
        'users',
        'articles',
        'notifications',
        'django.contrib.admin',
        'django.contrib.auth',
        'django.contrib.contenttypes',
        'django.contrib.messages',
        'django.contrib.sessions',
        'django.contrib.staticfiles',
        'static_precompiler',
        'django_markup',
        'django_minify_html',
        'django_rename_app',
    ]

MIDDLEWARE = MIDDLEWARE = [
        'django.middleware.security.SecurityMiddleware',
        'django.contrib.sessions.middleware.SessionMiddleware',
        'django.middleware.common.CommonMiddleware',
        'django.middleware.csrf.CsrfViewMiddleware',
        'django.contrib.auth.middleware.AuthenticationMiddleware',
        'django.contrib.messages.middleware.MessageMiddleware',
        'django.middleware.clickjacking.XFrameOptionsMiddleware',
        'django_minify_html.middleware.MinifyHtmlMiddleware',
    ]

ROOT_URLCONF = 'profplus.urls'

TEMPLATES = TEMPLATES = [
        {
            'BACKEND': 'django.template.backends.django.DjangoTemplates',
            'DIRS': ["templates"],
            'APP_DIRS': True,
            'OPTIONS': {
                'context_processors': [
                    'django.template.context_processors.debug',
                    'django.template.context_processors.request',
                    'django.contrib.auth.context_processors.auth',
                    'django.contrib.messages.context_processors.messages',
                ],
            },
        },
    ]

WSGI_APPLICATION = 'profplus.wsgi.application'


STATIC_URL = 'static/'
STATIC_ROOT = os.path.join(BASE_DIR, 'static')
STATICFILES_FINDERS = STATICFILES_FINDERS = [
        'django.contrib.staticfiles.finders.FileSystemFinder',
        'django.contrib.staticfiles.finders.AppDirectoriesFinder',
        'static_precompiler.finders.StaticPrecompilerFinder',
    ]

Согласно официальным документам: как управлять статическими файлами:

В дополнение к этим шагам по настройке, вам также нужно будет фактически обслуживать статические файлы.

Во время разработки, если вы используете django.contrib.staticfiles, это будет сделано автоматически сервером runserver, когда DEBUG установлен в True (см. django.contrib.staticfiles.views.serve()).

.

Этот метод крайне неэффективен и , вероятно, небезопасен, поэтому он непригоден для производства.

.

При этом, никому нет дела до безопасности обслуживания статических файлов в Django, и вам не следует использовать это в продакшене. Используйте выделенный сервер для обслуживания статических файлов, как развернуть статические файлы в продакшене

Кажется, здесь опечатка? 

TEMPLATES = TEMPLATES = [
    {
        'BACKEND': 'django.template.backends.django.DjangoTemplates',
        'DIRS': ["templates"],
        'APP_DIRS': True,
        'OPTIONS': {
            'context_processors': [
                'django.template.context_processors.debug',
                'django.template.context_processors.request',
                'django.contrib.auth.context_processors.auth',
                'django.contrib.messages.context_processors.messages',
            ],
        },
    },
]

В нем должно быть только одно слово TEMPLATES, а DIRS должен быть АБСОЛЮТНЫМ путем, как это:

 TEMPLATES = [
    {
        'BACKEND': 'django.template.backends.django.DjangoTemplates',
        'DIRS': [os.path.join(BASE_DIR, "templates"),],
        'APP_DIRS': True,
        'OPTIONS': {
            'context_processors': [
                'django.template.context_processors.debug',
                'django.template.context_processors.request',
                'django.contrib.auth.context_processors.auth',
                'django.contrib.messages.context_processors.messages',
            ],
        },
    },
]

В продакшене вы можете использовать Nginx для развертывания вашего приложения, и если все настроено правильно, все пути, которые не объявлены в urls.py, должны быть запрещены.

Надеюсь, это поможет.

Вы неправильно настроили параметры статических файлов для производства. Вы должны обслуживать статические файлы непосредственно в Nginx.

nginx config:

server {
    ....
    location /static/ {
          alias /app/staticfiles/;
    }
}

когда запрос отправляется на /static/ - например, /static/base.css - Nginx попытается обслужить файл из папки "/app/staticfiles/".

ссылки для получения дополнительной информации: https://docs.djangoproject.com/en/4.0/ref/contrib/staticfiles/ https://testdriven.io/blog/django-static-files/

Встроенный сервер статических файлов не предназначен для производственного использования, поэтому он не прилагает никаких усилий для решения проблем безопасности, подобных той, о которой вы упомянули. Обычно статические файлы не обслуживаются никаким приложением Python -- статические файлы обычно перегружаются на сервер или сервис, специализированный для обслуживания статических файлов, такой как традиционный веб-сервер (Apache, NGINX и т.д.) или CDN (CloudFlare, CloudFront, Azure Frontdoor и т.д.). Это описано в документации по django.

Если у вас нет CDN и вы не хотите использовать отдельный сервер для статических файлов, и вам нужно использовать ваше Python приложение для обслуживания статических файлов, вы можете использовать whitenoise middleware в вашем Django проекте вместо этого.

Установите пакет:

pip install whitenoise

Затем добавьте его в свой проект:

MIDDLEWARE = [
    # ...
    "django.middleware.security.SecurityMiddleware",
    "whitenoise.middleware.WhiteNoiseMiddleware",
    # ...
]

И удалите настройки STATICFILES_FINDERS, которые у вас есть в настоящее время.

Обратитесь к документации whitenoise для получения дополнительной информации и вариантов конфигурации.

Вернуться на верх