Làm thế nào để kiểm tra kích thước của tệp được tải lên một cách an toàn trong bottlepy?

Question

Tôi thực sự sợ rằng hoạt động read() vì nó sử dụng bộ nhớ. Ví dụ, ai cũng có thể DDoS máy chủ của tôi bằng cách tải lên một tệp 1gb, đúng không?

name = request.forms.get('name') 
data = request.files.get('data') 
if name and data.file: 
    raw = data.file.read() # This is dangerous for big files 
    filename = data.filename 
    return "Hello %s! You uploaded %s (%d bytes)." % (name, filename, len(raw)) 

Có giải pháp an toàn nào để tải kích thước tệp đã tải lên không? Một dự đoán là lấy kích thước tệp từ hệ thống tệp; request.files.get('data') có thể được lưu trữ ở đâu đó trong tệp tạm thời phải không?

Answer 1

Bạn có thể kiểm tra xem bạn có thể đọc khối dữ liệu, mỗi lần một dữ liệu hay không.

Nếu đây là tốt rồi:

name = request.forms.get('name') 
data = request.files.get('data') 
raw = "" 
if name and data.file: 
    while True: 
     datachunk = data.file.read(1024) 
     if not datachunk: 
      break 
     raw = raw + datachunk 

    filename = data.filename 
    return "Hello %s! You uploaded %s (%d bytes)." % (name, filename, len(raw)) 

Nếu đây là có thể, sau đó bạn sẽ có thể còn thêm một cơ chế theo dõi về cách lớn một tập tin mà bạn muốn đọc và nếu vượt hủy bỏ hoạt động này.

Cách thức này giải quyết chỉ một trong những cách có thể có của DDOS.

Answer 2

Đây là một câu hỏi thú vị. Thông thường bạn có thể lấy số liệu thống kê trên đối tượng tệp hoặc sử dụng os.path để lấy kích thước. This question đã được đề cập trước đó.

Nhưng bạn đang hỏi về cách nói kích thước tệp phía máy khách từ máy chủ trước khi chúng tôi dành thời gian tải lên. Tôi nghĩ rằng cách tốt nhất để làm điều này là with JavaScript. This question có thể giúp bạn bắt đầu cách lấy mã JavaScript vào ứng dụng BottlePy của bạn.

Sử dụng JavaScript để xác thực thông tin nhập của bạn để bạn có thể giả định trong mã máy chủ của mình rằng tệp nằm trong giới hạn của bạn. Khi bạn tìm ra điều này, tôi khuyên bạn nên yêu cầu người dùng BottlePy thêm hỗ trợ trực tiếp vào hỗ trợ BaseRequest.files.