Django中MP4视频上传的类型大小限制、负载与安全最佳实践

1. 限制文件类型（优先MP4视频） #

要确保仅允许视频文件上传，不能只依赖文件后缀（可被篡改），需结合后缀验证与真实MIME类型校验：

• 安装依赖：用python-magic检测真实MIME类型（Ubuntu需先装libmagic1，Windows用python-magic-bin）
• 模型层验证实现：

from django.db import models
from django.core.validators import FileExtensionValidator
from django.core.exceptions import ValidationError
import magic

def validate_video_mime(file):
    # 读取文件开头1024字节检测MIME，避免全量读取
    mime_type = magic.from_buffer(file.read(1024), mime=True)
    allowed_mimes = ['video/mp4', 'video/quicktime']  # 可扩展支持的视频类型
    if mime_type not in allowed_mimes:
        raise ValidationError("仅支持MP4等标准视频格式")
    # 重置文件指针，避免后续处理异常
    file.seek(0)

class YourModel(models.Model):
    media = models.FileField(
        validators=[
            FileExtensionValidator(allowed_extensions=['mp4', 'mov']),
            validate_video_mime
        ]
    )

• 也可在表单层的clean_media方法中实现相同逻辑，便于返回更友好的前端提示。

2. 设置最大文件大小（200MB） #

有两种实现方式，按需选择：

全局配置（对所有上传生效） #

在settings.py中添加：

# 200MB 转换为字节单位
DATA_UPLOAD_MAX_MEMORY_SIZE = 200 * 1024 * 1024
FILE_UPLOAD_MAX_MEMORY_SIZE = 200 * 1024 * 1024
# 可选：指定临时文件存储路径
FILE_UPLOAD_TEMP_DIR = '/tmp/django_uploads'

字段单独验证（仅对当前字段生效） #

新增大小校验函数并加入validators列表：

def validate_max_file_size(file):
    max_size = 200 * 1024 * 1024  # 200MB
    if file.size > max_size:
        raise ValidationError(f"文件大小不能超过{max_size//(1024*1024)}MB")

# 关联到FileField
media = models.FileField(validators=[..., validate_max_file_size])

• 额外优化：在Nginx等反向代理层设置client_max_body_size 200M;，直接拦截超大小请求，减轻后端压力。

3. 验证操作对服务器负载的影响 #

• 文件大小校验：仅读取文件元数据，几乎无性能开销；
• MIME类型校验：仅读取文件开头1024字节，资源消耗极低，除非是每秒上千次的极端上传场景，否则不会对服务器负载产生明显影响。

4. CSRF Token的安全作用 #

CSRF Token和后端文件验证是互补的安全机制，不能互相替代：

• 客户端校验（JS限制类型/大小）确实可被绕过，后端严格的类型+大小验证才是核心安全屏障；
• CSRF Token的作用是防止跨站请求伪造，确保上传请求来自你的合法站点，避免攻击者诱导用户上传恶意文件，但无法替代文件本身的内容校验。

内容的提问来源于stack exchange，提问作者ILIKETOLEARN