为什么Django函数django.views.static.serve（）是不安全的？

Question

根据使用django.views.static.server（）函数的文档是：

低效和不安全。

我理解为什么它效率低下，但在哪个方面它是insecure ？

Answer 1

它与Django测试服务器本身一样不安全，对于初学者来说，就像上面的回答所说的那样 - 也就是说，它没有像CherryPy这样的“生产就绪”服务器进行任何类型的安全性测试。 因此，用户访问他们无法访问的文件时可能存在各种潜在的安全问题; 虽然这些通常都是固定的，但它们并不像生产服务器那样被视为“优先”，而且没有人真正想要它来寻找这些东西。

此外，请参阅今年夏天的Django安全更新 ，修复了恶意制作的URL可以让访问者访问Django用户可以看到的任何文件的情况，即使它不在静态根目录下。 它已修复，但应该让您了解为什么要在生产环境中使用Real Server。

Answer 2

django.views.static.server（）基于django开发服务器。 根据django的书，“它没有经过任何形式的安全审计”

它不是为生产目的而设计的，也没有为此目的进行测试。 使用未经测试的网络服务器是不安全的。