Azure等主机平台如何防止文件被删除？可删文件范围解析

一、Azure App Service 的文件系统防护逻辑 #

• 只读根目录限制：Azure App Service 容器的根目录(/)为只读挂载状态，这是平台默认的安全防护策略，用于防止误操作破坏系统核心运行环境与依赖文件。因此直接执行shutil.rmtree('/')会触发只读文件系统报错，无法删除任何内容。
• 工作目录权限边界：你的Django项目默认部署在/home/site/wwwroot目录，该区域为可写范围，但切换到上级目录后尝试递归删除，会触及平台进程隔离的权限边界，破坏App Service运行所需的底层关联目录（如/home下的日志、临时存储绑定目录），进而导致服务进程崩溃，必须重启服务器恢复。
• 进程权限限制：应用进程仅拥有自身工作目录、临时目录(/tmp)的有限读写权限，无法访问或修改系统级核心目录。

二、主流云平台的通用防删机制 #

• AWS Elastic Beanstalk：系统根目录只读，应用代码部署在/var/app/current，仅该目录与临时目录可写。尝试删除上级目录会被权限拦截，或触发应用进程异常。
• Google App Engine：标准环境下文件系统完全只读，仅临时存储(/tmp)可写；灵活环境中应用目录可写，但系统根目录依然只读，无法执行根目录递归删除操作。
• Docker容器化部署：镜像层默认只读，仅容器可写层（应用工作目录、挂载卷）可修改。删除根目录会因镜像层只读失败，若挂载了宿主机目录，可能误删宿主机挂载内容，但云平台通常会限制容器对宿主机的操作权限。

三、可能被意外删除的文件/目录 #

• 应用工作目录：若测试中执行shutil.rmtree('.')，会清空Django项目代码目录(/home/site/wwwroot)内的所有文件，直接导致应用无法运行。
• 临时存储目录：各平台的临时目录（如Azure的/tmp）可写，执行删除操作会清空临时文件，可能影响依赖临时文件的功能，但一般不会导致服务器崩溃。
• 挂载的持久化存储：若应用挂载了Azure Storage等云存储卷，且测试代码指向该卷路径，递归删除会清空卷内所有数据，无备份则无法恢复。

四、测试安全建议 #

• 限定操作目录范围：在pytest测试中，仅操作项目内的测试专属临时目录（如tests/temp/），避免直接触碰根目录或上级目录。
• 使用测试槽位：Azure App Service支持部署独立测试槽，在槽内执行危险操作不会影响生产环境，测试后可直接重置槽位。
• 最低权限运行：确保测试进程使用最低权限，避免赋予其修改系统目录的权限。

内容的提问来源于stack exchange，提问作者shraysalvi