Django識別文件模式

Question

我正在實現一種方法來限制運行Python 3.4的Django 1.8上的文件上載。

基本上，我想在使用mimetypes上傳文件時檢查它們的MIME類型。但是，當我操縱bad_image.exe到bad_image.exe.jpg的文件名時，MIME類型仍然是image/jpeg。這仍然可能導致惡意攻擊。

有沒有一種方法來實際執行這個？

Answer 1

您可以通過設置禁止的MIME類型黑名單來反向執行檢查。然後，對於這些MIME類型中的每一種，使用例如

mimetypes.guess_all_extensions('application/x-msdownload') 

產生一個可能的惡意擴展列表，然後您可以在上傳的文件名中進行搜索。

警告。

依靠文件名和MIME類型來抵禦惡意上傳是not safe practice。至少，沙盒用戶在單獨的域中上傳可以防止任何惡意代碼滑過防禦系統攻擊您的網站。