Python的Flask框架及Nginx实现静态文件访问限制功能-Python教學-PHP中文網

首頁

後端開發

Python教學

Python的Flask框架及Nginx实现静态文件访问限制功能

WBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWB

Jul 06, 2016 pm 01:29 PM

flask nginx設定 python 靜態文件

Nginx配置

Ngnix，一个高性能的web服务器，毫无疑问它是当下的宠儿。卓越的性能，灵活可扩展，在服务器领域里攻城拔寨，征战天下。

静态文件对于大多数website是不可或缺的一部分。使用Nginx来处理静态文件也是常见的方式。然而，一些静态文件，我们并不像任何情况下都公开给任何用户。例如一些提供给用户下载的文件，一些用户上传的涉及用户隐私的图片等。我们我希望用户登录的情况下可以访问，未登录的用户则不可见。

粗略的处理，在后端程序可以做过滤，渲染页面的时候，在视图逻辑里面验证用户登录，然后返回对应的页面。例如下面的flask代码（伪代码）

@app.router('/user/idcard'):
def user_idcard_page():
 if user is login:
  return '<img  src="/static/imghw/default1.png"  data-src="http://files.jb51.net/upload/user/xxx.png' alt="Python的Flask框架及Nginx实现静态文件访问限制功能" >"  class="lazy">"
 else:
  reutrn '<p>Pemission Denied<p>', 403

登入後複製

可是这样的处理，还有一个问题，静态文件是交给 nginx 处理的，如果hacker找到了文件的绝对地址，直接访问 http://www.example.com/upload/user/xxx.png也是可以的。恰巧这些文件又涉及用户隐私，比如用户上传的身份证照片。那么码农可不希望第二天媒体报道，知名网站XXX存在漏洞，Hacker获取了用户身份证等信息。

为了做这样的限制，可以借助 Nginx 的一个小功能----XSendfile。其原理也比较简单，大概就是使用了请求重定向。

我们知道，如果用Nginx做服务器前端的反向代理，一个请求进来，nginx先补捉到，然后再根据规则转发给后端的程序处理，或者直接处理返回。前者处理一些动态逻辑，后者多是处理静态文件。因此上面那个例子中，直接访问静态文件的绝对地址，Nginx就直接返回了，并没有调用后端的 user_idcard_page做逻辑限制。

为了解决这个问题，nginx提供的 XSendfile功能，简而言之就是用 internal 指令。该指令表示只接受内部的请求，即后端转发过来的请求。后端的视图逻辑中，需要明确的写入X-Accel-Redirect这个headers信息。

伪代码如下：

location /upload/(.*) {
  alias /vagrant/;
  internal;
}

@app.router('upload/<filename>')
@login_required
def upload_file(filename):
 response = make_response()
 response['Content-Type'] = 'application/png'
 response['X-Accel-Redirect'] = '/vagrant/upload/%s' % filename
 return response

登入後複製

经过这样的处理，就能将静态资源进行重定向。这样的用法还是比较常见的，很多下载服务器可以通过这样的手段针对用户的权限做下载处理。

Flask

Flask是我喜欢的web框架，Flask甚至实现了一个 sendfile的方法，比上面的做法还简单。我用vagrant作了一个虚拟机，用Flask实现了上面的需求，具体代码如下：

项目结构

project struct

project
 app.py
 templates
 static
 0.jpeg
 upload
 0.jpeg

登入後複製

nginx的配置 nginx conf

web.conf

server {
  listen 80 default_server;

  # server_name localhost;
  server_name 192.168.33.10;
  location / {
    proxy_pass http://127.0.0.1:8888;
    proxy_redirect off;
    proxy_set_header Host $host:8888;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  }
  # 正常的静态文件
  location /static/(.*) {
    root /vagrant/;

  }
  # 用户上传的文件，需要做权限限制
  location /upload/(.*) {
    alias /vagrant/;
    internal;    # 只接受内部请求的指令
  }
}

登入後複製

Flask 代码

app.py

from functools import wraps
from flask import Flask, render_template, redirect, url_for, session, send_file

app = Flask(__name__)

app.config['SECRET_KEY'] = 'you never guess'

def login_required(f):
 @wraps(f)
 def decorated_function(*args, **kwargs):
  if not session.get('login'):
   return redirect(url_for('login', next=request.url))
  return f(*args, **kwargs)
 return decorated_function

@app.route('/')
def index():
 return 'index'


@app.route('/user')
@login_required
def user():

 return render_template('upload.html')

# 用户上传的文件视图处理，在此处返回请求给nginx
@app.route('/upload/<filename>')
@login_required
def upload(filename):

 return send_file('upload/{}'.format(filename))


@app.route('/login')
def login():
 session['login'] = True
 return 'log in'

@app.route('/logout')
def logout():
 session['login'] = False
 return 'log out'


if __name__ == '__main__':
 app.run(debug=True)

登入後複製

简单部署

gunicorn -w4 -b0.0.0.0:8888 app:app --access-logfile access.log --error-logfile error.log

登入後複製

本網站聲明

本文內容由網友自願投稿，版權歸原作者所有。本站不承擔相應的法律責任。如發現涉嫌抄襲或侵權的內容，請聯絡admin@php.cn

熱AI工具

熱工具

熱門話題

gmail信箱登陸入口在哪裡

7711

Java教學

1640

CakePHP 教程

1394

Laravel 教程

1288

PHP教程

1232

Related knowledge

PHP和Python：解釋了不同的範例 Apr 18, 2025 am 12:26 AM

PHP主要是過程式編程，但也支持面向對象編程（OOP）；Python支持多種範式，包括OOP、函數式和過程式編程。 PHP適合web開發，Python適用於多種應用，如數據分析和機器學習。

在PHP和Python之間進行選擇：指南 Apr 18, 2025 am 12:24 AM

PHP適合網頁開發和快速原型開發，Python適用於數據科學和機器學習。 1.PHP用於動態網頁開發，語法簡單，適合快速開發。 2.Python語法簡潔，適用於多領域，庫生態系統強大。

Python vs. JavaScript：學習曲線和易用性 Apr 16, 2025 am 12:12 AM

Python更適合初學者，學習曲線平緩，語法簡潔；JavaScript適合前端開發，學習曲線較陡，語法靈活。 1.Python語法直觀，適用於數據科學和後端開發。 2.JavaScript靈活，廣泛用於前端和服務器端編程。

vs code 可以在 Windows 8 中運行嗎 Apr 15, 2025 pm 07:24 PM

VS Code可以在Windows 8上運行，但體驗可能不佳。首先確保系統已更新到最新補丁，然後下載與系統架構匹配的VS Code安裝包，按照提示安裝。安裝後，注意某些擴展程序可能與Windows 8不兼容，需要尋找替代擴展或在虛擬機中使用更新的Windows系統。安裝必要的擴展，檢查是否正常工作。儘管VS Code在Windows 8上可行，但建議升級到更新的Windows系統以獲得更好的開發體驗和安全保障。

visual studio code 可以用於 python 嗎 Apr 15, 2025 pm 08:18 PM

VS Code 可用於編寫 Python，並提供許多功能，使其成為開發 Python 應用程序的理想工具。它允許用戶：安裝 Python 擴展，以獲得代碼補全、語法高亮和調試等功能。使用調試器逐步跟踪代碼，查找和修復錯誤。集成 Git，進行版本控制。使用代碼格式化工具，保持代碼一致性。使用 Linting 工具，提前發現潛在問題。