为什么Django函数django.views.static.serve（）是不安全的？

Question

使用django.views.static.server（）函数的

According to the Documentation是：

  

低效且不安全。

我理解为什么它效率低下，但它在哪个方面insecure？

Answer 1

它与Django测试服务器本身一样不安全，对于初学者来说，就像上面的回答所说的那样 - 也就是说，它没有像CherryPy这样的“生产就绪”服务器进行任何类型的安全性测试。因此，用户访问他们无法访问的文件时可能存在各种潜在的安全问题;虽然这些通常都是固定的，但它们并不像生产服务器那样被视为“优先”，而且没有人真正想要它来寻找这些东西。

此外，请参阅今年夏天的Django security update，其中修复了恶意制作的网址可以让访问者访问Django用户可以看到的任何文件的情况，即使它不在静态根目录下。它已修复，但应该让您了解为什么要在生产环境中使用Real Server。

Answer 2

django.views.static.server（）基于django开发服务器。根据django的书，“它没有经过任何形式的安全审计”

它不是为生产目的而设计的，也没有为此目的进行测试。使用未经测试的网络服务器是不安全的。