3

我有这样定义的模型的一部分：

logo_image = models.ImageField(upload_to=lambda i, fn: "logo_%s"%(fn), height_field="logo_image_height", width_field="logo_image_width")

并对upload_to 函数有疑问。

根据django 的 FileField.upload_to 文档，第二个参数filename是“最初赋予文件的文件名”。

现在，了解 HTTP、文件上传等，最终用户的客户端可以轻松伪造文件名。特别是，终端客户端不能上传一个名为“/etc/passwd”的文件，例如，如果我使用我的幼稚代码（lambda i, fn: "logo_%s"%(fn)），生成的文件不会上传到/etc/passwd吗？我需要转义filename参数吗？

#using django's example of using full paths in settings module,
#MEDIA_ROOT="/tmp/media"
>>> os.path.join("/tmp/media/", "apple.jpg")
'/tmp/media/apple.jpg'
>>> os.path.join("/tmp/media/", "/etc/passwd")
'/etc/passwd'

感谢您的任何建议/答案/澄清。

编辑

要查看的重要方法在 files.py 中，靠近第 272 行：

272         def get_directory_name(self):
273             return os.path.normpath(force_unicode(datetime.datetime.now().strftime(smart_str(self.upload_to))))
274     
275         def get_filename(self, filename):
276             return os.path.normpath(self.storage.get_valid_name(os.path.basename(filename)))
277     
278         def generate_filename(self, instance, filename):
279             return os.path.join(self.get_directory_name(), self.get_filename(filename))

定义自定义upload_to替换generate_filename() 如下所示：

226             if callable(upload_to):
227                 self.generate_filename = upload_to

然后，在save() 方法中：

89      def save(self, name, content, save=True):
90          name = self.field.generate_filename(self.instance, name)
91          self.name = self.storage.save(name, content)

并且返回的文件名被传递给存储类，最终调用 _os.py util 模块safe_join中的 django 替换函数。

该功能似乎减轻了我的恐惧：

24    def safe_join(base, *paths):
25      """
26      Joins one or more path components to the base path component intelligently.
27      Returns a normalized, absolute version of the final path.
28  
29      The final path must be located inside of the base path component (otherwise
30      a ValueError is raised).
31      """
4

1 回答 1

1

我想你已经回答了你自己的问题。需要澄清的一点是 os.path.join() 的工作方式是去掉前面的目录（根据与 os.path 相关的 Python 文档）。因此，您在调用 os.path.join() 时观察到的行为与其描述方式一致。

另一件需要注意的事情：get_filename() 函数调用 os.path.basename()，它将删除所有目录路径并仅返回基本名称。因此，如果没有 upload_to= 参数，就没有这种可能性的危险。

但是，如果您使用自己的 upload_to 函数覆盖 ImageField()，则不会调用此函数，最好调用 os.path.basename()。首先，它也会避免将文件名保存为完整的目录路径。因此，我发现最好在我的 upload_to 函数中调用 os.path.basename() 。有没有其他人遇到过这个问题？

有关详细信息，请参阅：http ://hustoknow.blogspot.com/2010/08/try-me-out.html

于 2010-08-30T20:34:49.027 回答