为什么Django函数django.views.static.serve（）不安全？

Question

According to the Documentation使用django.views.static.server（）函数是：

低效和不安全的。

我明白为什么它效率低下，但在哪方面insecure？

Answer 1

它和Django测试服务器本身一样不安全，对于初学者来说，就像上面的答案所说 - 也就是说，它没有像CherryPy那样的“生产就绪”服务器的方式测试任何类型的安全性。因此，用户访问他们应该无法访问的文件可能存在各种潜伏的安全问题;虽然这些通常是固定的，但它们不会被认为是“优先”的，因为它们将与生产服务器一起使用，并且没有人真正在寻找这些东西。

此外，请参阅今年夏天的Django security update，它修复了恶意制作的URL可以让访问者访问Django用户可以看到的任何文件的情况，即使它不在静态根目录下。它是固定的，但应该让你知道为什么你应该在生产环境中使用Real Server。

Answer 2

django.views.static.server（）基于django开发服务器。根据django书，“它没有经过任何类型的安全审计”

它不是为生产目的而设计的，它也没有为此测试过。使用未经测试的网络服务器是不安全的。