NodeJS/Express中替代Flask send_from_directory()的方案咨询

Express 内置了可替代 Flask send_from_directory()的高效方法，无需拆分文件名与内容传输，直接实现文件的安全发送：

核心方案：res.sendFile() #

这是最接近send_from_directory()的功能，支持直接发送指定目录下的文件，同时自带安全路径校验与自定义响应头能力。

基础使用示例 #

const express = require('express');
const path = require('path');
const app = express();

// 单个文件下载路由
app.get('/download/:filename', (req, res) => {
  const targetFilename = req.params.filename;
  // 拼接安全路径，限制仅访问指定存储目录
  const filePath = path.join(__dirname, 'your-storage-directory', targetFilename);

  // 设置下载时显示的文件名（对应Flask的as_attachment参数效果）
  res.setHeader('Content-Disposition', `attachment; filename="${targetFilename}"`);

  // 发送文件
  res.sendFile(filePath, (err) => {
    if (err) {
      res.status(err.status || 404).send('Requested file not found');
    }
  });
});

app.listen(3000);

批量文件访问：express.static中间件 #

如果需要开放整个目录的文件访问权限，express.static可自动处理目录下的所有文件请求，无需逐个编写路由：

// 允许通过/files/xxx路径访问storage目录下的文件
app.use('/files', express.static(path.join(__dirname, 'your-storage-directory')));

大文件优化：流式传输 #

针对加密后的大体积文件，使用流式传输避免内存占用过高，结合fs.createReadStream与res.pipe实现高效传输：

const fs = require('fs');

app.get('/download-large/:filename', (req, res) => {
  const targetFilename = req.params.filename;
  const filePath = path.join(__dirname, 'your-storage-directory', targetFilename);

  res.setHeader('Content-Disposition', `attachment; filename="${targetFilename}"`);
  
  // 创建文件读取流并管道到响应对象
  const fileStream = fs.createReadStream(filePath);
  fileStream.pipe(res);

  // 处理流错误
  fileStream.on('error', () => {
    res.status(404).send('Requested file not found');
  });
});

安全提示 #

• 始终使用path.join()拼接路径，避免路径遍历攻击（与Flasksend_from_directory()的安全机制一致）
• 可额外添加权限校验逻辑，确保只有授权用户能访问敏感加密文件

内容的提问来源于stack exchange，提问作者Karthik Venkatesh