Загрузка файлов с помощью Turbogears 2

@mhawke - вы правы, вы должны справиться с этим - зависит от того, что вы делаете с файлом, если не имеет значения, есть ли конфликт имен, например, вы заботитесь только о последней версии некоторых данных, тогда, вероятно, нет проблема, или если имя файла на самом деле не важно, только его содержимое, но это все еще плохая практика.

Вы можете использовать именованный временный файл в каталоге tmp, а затем переместить файл после проверки в его окончательное расположение. Или вы можете проверить, что имя файла еще не существует, например:

file.name = slugify(myfile.filename)
name, ext = os.path.splitext(file.name)
while os.path.exists(os.path.join(permanent_store, file.name)):
    name += '_'
    file.name = name + ext

raw_file = os.path.join(permanent_store, file.name)

Метод slugify будет использоваться для очистки имени файла ...

Я просто хочу, чтобы все, кто приходит сюда в поисках ответов, знали, что отличная библиотека Аллесандро Молины Depot представляет собой лучший ответ на этот вопрос.

Он решает как проблемы с именованием, так и с копированием, и он прекрасно впишется в ваше приложение TurboGears. Вы можете использовать его с MongoDB GridFS, как в этом примере:

from depot.manager import DepotManager

# Configure a *default* depot to store files on MongoDB GridFS
DepotManager.configure('default', {
    'depot.backend': 'depot.io.gridfs.GridFSStorage',
    'depot.mongouri': 'mongodb://localhost/db'
})

depot = DepotManager.get()

# Save the file and get the fileid
fileid = depot.create(open('/tmp/file.png'))

# Get the file back
stored_file = depot.get(fileid)
print stored_file.filename
print stored_file.content_type

или вы можете легко создать поля вложений в своих моделях SQLAlchemy, например:

from depot.fields.sqlalchemy import UploadedFileField

class Document(Base):
    __tablename__ = 'document'

    uid = Column(Integer, autoincrement=True, primary_key=True)
    name = Column(Unicode(16), unique=True)

    content = Column(UploadedFileField)

… А затем сохранить документы с прикрепленными файлами (источником может быть файл или байты) становится так же просто, как:

doc = Document(name=u'Foo', content=open('/tmp/document.xls'))
DBSession.add(doc)

Depot поддерживает как LocalFileStorage, MongoDB, _ 5_ и S3Storage от Amazon. И, по крайней мере, для файлов, хранящихся локально и в S3, fileid будет сгенерирован uuid.uuid1().

Я мало знаю о Turbogears и о том, может ли он что-нибудь дать, чтобы избежать следующего, но мне кажется, что этот код чреват опасностью. Злоумышленник может перезаписать (или создать) любой файл, к которому процесс Python Turbogears имеет доступ для записи.

Что, если asset_dirname равно /tmp, содержимое file.filename равно ../../../../../../../etc/passwd, а содержимое файла root::0:0:root:/root:/bin/bash? В среде UNIX этот код (ожидающие разрешения) откроет файл /tmp/../../../../../../../etc/passwd в режиме усечения, а затем скопирует в него содержимое загруженного файла, эффективно перезаписав файл паролей вашей системы и указав пользователя root без пароля. Предположительно, есть неприятные вещи, которые можно сделать и с машиной Windows.

Хорошо, это крайний пример, который требует, чтобы python работал как root (никто этого не делает, не так ли?). Даже если python работает как пользователь с низким уровнем привилегий, ранее загруженные файлы могут быть перезаписаны по желанию.

Подводя итог, не доверяйте вводу пользователя, в данном случае указанному пользователем имени файла, доступному в file.filename.

Разве турбоагрегаты не являются просто пилонами с дополнительными принадлежностями? Вы можете проверить справку там:

http://wiki.pylonshq.com/display/pylonsdocs/Form+Handling#file-uploads

Тем не менее, это все еще содержит потенциальную брешь в безопасности, о которой упоминал Мхок:

os.path.join(permanent_store, myfile.filename.lstrip(os.sep))

То же, что и выше, если имя файла каким-то образом было ../../../../../etc/passwd, вы можете заменить этот файл ...

Таким образом, вы можете просто получить фактическое имя файла следующим образом:

os.path.join(permanent_store, myfile.filename.split(os.sep).pop())

Werkzeug имеет очень хорошую вспомогательную функцию для защиты имен файлов, которая называется secure_filename < / а>. Я думаю, вы можете принять и использовать его.

о том, как идти, я бы согласился с уже данными хорошими ответами.

вот мои 2 пенса об именах сохраненных файлов.

действительно, сохранение файла с исходным именем может вызвать уязвимость. единственное использование оригинального имени, если оно вообще используется, - это намек на определение типа mime.

в любом случае файлам, которые нужно сохранить, должны быть присвоены уникальные имена, идентичность записи или что-то подобное, и они должны храниться в месте под контролем владельца каталога приложения, который является обычным пользователем, или в какой-либо другой службе хранения, как упомянуто выше депо и т. д.

это вопрос кросс-языковой разработки хорошей системы :).