仅接受 FileField 中的特定文件类型，服务器端

Question

如何以优雅的方式在服务器端限制FileField 只接受某种类型的文件（视频、音频、pdf 等）？

Answer 1

有一个Django snippet 这样做：

import os

from django import forms

class ExtFileField(forms.FileField):
    """
    Same as forms.FileField, but you can specify a file extension whitelist.

    >>> from django.core.files.uploadedfile import SimpleUploadedFile
    >>>
    >>> t = ExtFileField(ext_whitelist=(".pdf", ".txt"))
    >>>
    >>> t.clean(SimpleUploadedFile('filename.pdf', 'Some File Content'))
    >>> t.clean(SimpleUploadedFile('filename.txt', 'Some File Content'))
    >>>
    >>> t.clean(SimpleUploadedFile('filename.exe', 'Some File Content'))
    Traceback (most recent call last):
    ...
    ValidationError: [u'Not allowed filetype!']
    """
    def __init__(self, *args, **kwargs):
        ext_whitelist = kwargs.pop("ext_whitelist")
        self.ext_whitelist = [i.lower() for i in ext_whitelist]

        super(ExtFileField, self).__init__(*args, **kwargs)

    def clean(self, *args, **kwargs):
        data = super(ExtFileField, self).clean(*args, **kwargs)
        filename = data.name
        ext = os.path.splitext(filename)[1]
        ext = ext.lower()
        if ext not in self.ext_whitelist:
            raise forms.ValidationError("Not allowed filetype!")

#-------------------------------------------------------------------------

if __name__ == "__main__":
    import doctest, datetime
    doctest.testmod()

Answer 2

首先。在应用程序中创建一个名为 formatChecker.py 的文件，其中您的模型具有您想要接受某种文件类型的 FileField。

这是你的 formatChecker.py：

from django.db.models import FileField
from django.forms import forms
from django.template.defaultfilters import filesizeformat
from django.utils.translation import ugettext_lazy as _

class ContentTypeRestrictedFileField(FileField):
    """
    Same as FileField, but you can specify:
        * content_types - list containing allowed content_types. Example: ['application/pdf', 'image/jpeg']
        * max_upload_size - a number indicating the maximum file size allowed for upload.
            2.5MB - 2621440
            5MB - 5242880
            10MB - 10485760
            20MB - 20971520
            50MB - 5242880
            100MB 104857600
            250MB - 214958080
            500MB - 429916160
"""
def __init__(self, *args, **kwargs):
    self.content_types = kwargs.pop("content_types")
    self.max_upload_size = kwargs.pop("max_upload_size")

    super(ContentTypeRestrictedFileField, self).__init__(*args, **kwargs)

def clean(self, *args, **kwargs):        
    data = super(ContentTypeRestrictedFileField, self).clean(*args, **kwargs)

    file = data.file
    try:
        content_type = file.content_type
        if content_type in self.content_types:
            if file._size > self.max_upload_size:
                raise forms.ValidationError(_('Please keep filesize under %s. Current filesize %s') % (filesizeformat(self.max_upload_size), filesizeformat(file._size)))
        else:
            raise forms.ValidationError(_('Filetype not supported.'))
    except AttributeError:
        pass        

    return data

第二。在你的 models.py 中，添加：

from formatChecker import ContentTypeRestrictedFileField

那么不要使用“FileField”，而是使用这个“ContentTypeRestrictedFileField”。

例子：

class Stuff(models.Model):
    title = models.CharField(max_length=245)
    handout = ContentTypeRestrictedFileField(upload_to='uploads/', content_types=['video/x-msvideo', 'application/pdf', 'video/mp4', 'audio/mpeg', ],max_upload_size=5242880,blank=True, null=True)

当您只想在 FileField 中接受某种文件类型时，您必须这样做。

Answer 3

我认为您最适​​合使用 Dominic Rodger 在他的回答中指定的 ExtFileField 和 Daniel Quinn 提到的 python-magic 是最好的方法。如果有人足够聪明地更改扩展名，至少你会用标题抓住他们。

Answer 4

一种非常简单的方法是使用自定义验证器。

在您应用的validators.py：

def validate_file_extension(value):
    import os
    from django.core.exceptions import ValidationError
    ext = os.path.splitext(value.name)[1]  # [0] returns path+filename
    valid_extensions = ['.pdf', '.doc', '.docx', '.jpg', '.png', '.xlsx', '.xls']
    if not ext.lower() in valid_extensions:
        raise ValidationError('Unsupported file extension.')

然后在你的models.py:

from .validators import validate_file_extension

...并为您的表单字段使用验证器：

class Document(models.Model):
    file = models.FileField(upload_to="documents/%Y/%m/%d", validators=[validate_file_extension])

另请参阅：How to limit file types on file uploads for ModelForms with FileFields?。

警告

用于保护您的代码执行环境免受恶意媒体文件的影响

1. 使用 Exif libraries 正确验证媒体文件。
2. 将媒体文件与应用程序代码分开 执行环境
3. 如果可能，请使用 S3、GCS、Minio 或 任何类似的东西
4. 在客户端加载媒体文件时，请使用客户端本地方法（例如，如果您在 浏览器，它可能会导致执行“精心设计的”JavaScript 代码）

Answer 5

另外，我会用一些额外的行为来扩展这个类。

class ContentTypeRestrictedFileField(forms.FileField):
    ...
    widget = None
    ...
    def __init__(self, *args, **kwargs):
        ...
        self.widget = forms.ClearableFileInput(attrs={'accept':kwargs.pop('accept', None)})
        super(ContentTypeRestrictedFileField, self).__init__(*args, **kwargs)

当我们使用 param accept=".pdf,.txt" 创建实例时，在弹出窗口中默认文件结构我们将看到带有传递扩展名的文件。

Answer 6

您可以在设置中定义可接受的 mime 类型列表，然后定义一个验证器，该验证器使用 python-magic 来检测 mime-type 并在 mime-type 不被接受时引发 ValidationError。在文件表单字段中设置该验证器。

唯一的问题是有时 mime 类型是 application/octet-stream，它可能对应不同的文件格式。你们中有人解决了这个问题吗？

Answer 7

1.11 版本中的 Django 新增了一个用于模型字段的 FileExtensionValidator，文档在这里：https://docs.djangoproject.com/en/dev/ref/validators/#fileextensionvalidator。

如何验证文件扩展名的示例：

from django.core.validators import FileExtensionValidator
from django.db import models

class MyModel(models.Model):
    pdf_file = models.FileField(upload_to='foo/',
                                validators=[FileExtensionValidator(allowed_extensions=['pdf'])])

请注意，此方法不安全。来自 Django 文档的引用：

不要依赖文件扩展名的验证来确定文件的 类型。无论数据是什么，文件都可以重命名为具有任何扩展名 它们包含。

还有新的validate_image_file_extension (https://docs.djangoproject.com/en/dev/ref/validators/#validate-image-file-extension) 用于验证图像扩展（使用 Pillow）。

Answer 8

您可以使用以下内容来限制表单中的文件类型

file = forms.FileField(widget=forms.FileInput(attrs={'accept':'application/pdf'}))

Answer 9

一些人建议使用python-magic 来验证文件实际上是您期望接收的类型。这可以合并到接受的答案中建议的validator：

import os
import magic
from django.core.exceptions import ValidationError

def validate_is_pdf(file):
    valid_mime_types = ['application/pdf']
    file_mime_type = magic.from_buffer(file.read(1024), mime=True)
    if file_mime_type not in valid_mime_types:
        raise ValidationError('Unsupported file type.')
    valid_file_extensions = ['.pdf']
    ext = os.path.splitext(file.name)[1]
    if ext.lower() not in valid_file_extensions:
        raise ValidationError('Unacceptable file extension.')

此示例仅验证 pdf，但可以将任意数量的 mime 类型和文件扩展名添加到数组中。

假设您将上述内容保存在 validators.py 中，您可以将其合并到您的模型中，如下所示：

from myapp.validators import validate_is_pdf

class PdfFile(models.Model):
    file = models.FileField(upload_to='pdfs/', validators=(validate_is_pdf,))

Answer 10

在我检查了接受的答案后，我决定根据 Django 文档分享一个提示。已经有一个验证器用于验证文件扩展名。您无需重写自己的自定义函数来验证是否允许您的文件扩展名。

https://docs.djangoproject.com/en/3.0/ref/validators/#fileextensionvalidator

警告

不要依赖文件扩展名的验证来确定文件的 类型。无论数据是什么，文件都可以重命名为具有任何扩展名 它们包含。

Answer 11

对@Thismatters 的回答稍作调整，因为我无法发表评论。根据python-magic的README：

建议至少使用前 2048 个字节，因为少了会产生错误的标识

因此将 1024 字节更改为 2048 以读取文件内容并从中获取 mime 类型基数可以给出最准确的结果，因此：

def validate_extension(file):
    valid_mime_types = ["application/pdf", "image/jpeg", "image/png", "image/jpg"]
    file_mime_type = magic.from_buffer(file.read(2048), mime=True) #  Changed this to 1024 to 2048

    if file_mime_type not in valid_mime_types:
        raise ValidationError("Unsupported file type.")

    valid_file_extensions = [".pdf", ".jpeg", ".png", ".jpg"]
    ext = os.path.splitext(file.name)[1]

    if ext.lower() not in valid_file_extensions:
        raise ValidationError("Unacceptable file extension.")