django - Django関数django.views.static.serve()が安全でないのはなぜですか?

Question

django.views.static.server() 関数を使用するドキュメントによると、次のとおりです。

非効率的で安全ではありません。

非効率な理由はわかりますが、それはどの面insecureでしょうか?

Answer 1

上記の回答が述べたように、初心者にとっては、Djangoテストサーバー自体と同じくらい安全ではありません。つまり、CherryPyのような「本番対応」サーバーのように、あらゆる種類のセキュリティについてテストされていません。その結果、ユーザーがアクセスできないファイルにアクセスすると、あらゆる種類のセキュリティ上の問題が潜んでいる可能性があります。これらは一般的に修正されていますが、本番サーバーの場合のように「優先」とは見なされず、これらを探して実際に叩く人は誰もいません。

さらに、悪意を持って作成された URL により、訪問者が Django ユーザーが見ることができるすべてのファイルに (たとえそれが静的ルートの下になくても) アクセスできるという状況を修正した、この夏のDjango セキュリティ アップデートを参照してください。これは修正されていますが、実稼働環境でリアル サーバーを使用する必要がある理由についてのアイデアが得られるはずです。

Answer 2

django.views.static.server() は、django 開発サーバーに基づいています。ジャンゴの本によると、「いかなる種類のセキュリティ監査も受けていません」

生産目的で設計されておらず、この目的でもテストされていません。テストされていない Web サーバーを使用するのは安全ではありません。