爲什麼Django函數django.views.static.serve（）不安全？

Question

According to the Documentation使用django.views.static.server（）函數是：

低效和不安全的。

我明白爲什麼它效率低下，但在哪方面insecure？

Answer 1

它和Django測試服務器本身一樣不安全，對於初學者來說，就像上面的答案所說 - 也就是說，它沒有像CherryPy那樣的「生產就緒」服務器的方式測試任何類型的安全性。因此，用戶訪問他們應該無法訪問的文件可能存在各種潛伏的安全問題;雖然這些通常是固定的，但它們不會被認爲是「優先」的，因爲它們將與生產服務器一起使用，並且沒有人真正在尋找這些東西。

此外，請參閱今年夏天的Django security update，它修復了惡意製作的URL可以讓訪問者訪問Django用戶可以看到的任何文件的情況，即使它不在靜態根目錄下。它是固定的，但應該讓你知道爲什麼你應該在生產環境中使用Real Server。

Answer 2

django.views.static.server（）基於django開發服務器。根據django書，「它沒有經過任何類型的安全審計」

它不是爲生產目的而設計的，它也沒有爲此測試過。使用未經測試的網絡服務器是不安全的。