为何我的Django允许下载静态文件夹外文件？如何修复？

核心原因 #

你遇到的问题是DEBUG模式的默认行为导致的：当DEBUG = True时，Django内置的开发服务器会尝试将所有未匹配到URLconf的请求，映射到本地文件系统的对应路径返回给客户端——这是为了开发时方便调试，但直接暴露了服务器上的所有文件，属于高危漏洞。

具体修复步骤 #

1. 强制关闭DEBUG模式（最关键）

立即修改配置文件中的DEBUG值：

DEBUG = False

注意：当DEBUG = False时，Django会严格按照URLconf的规则处理请求，不会再自动映射本地文件，同时必须配置ALLOWED_HOSTS，否则会抛出错误，示例：

ALLOWED_HOSTS = ['your-server-ip', 'your-domain.com', '0.0.0.0']  # 根据你的实际访问地址添加

2. 检查并清理URLconf中的危险路由

打开项目根目录的urls.py（即ROOT_URLCONF = 'profplus.urls'指向的文件），如果存在类似以下的通配符路由，必须删除：

# 危险示例：匹配所有路径并返回文件，直接删除！
from django.views.static import serve
urlpatterns += [path('<path:path>', serve, {'document_root': '/'})]

正常情况下，静态文件的访问应该通过staticfiles提供的路由，无需手动添加serve视图。如果需要在开发环境处理静态文件，只需要添加：

from django.contrib.staticfiles.urls import staticfiles_urlpatterns
urlpatterns += staticfiles_urlpatterns()

3. 生产环境使用专业Web服务器处理静态文件

生产环境绝对不能用Django内置的runserver，必须搭配Nginx、Apache等反向代理服务器：

• 以Nginx为例，配置静态文件的访问规则，只允许访问STATIC_ROOT目录，其他路径直接拒绝：

server {
    listen 80;
    server_name your-domain.com;

    # 只允许访问静态文件目录
    location /static/ {
        alias /path/to/your/project/static/;  # 对应你的STATIC_ROOT路径
        expires 30d;
    }

    # 其他请求转发给Django的WSGI服务（比如uWSGI/Gunicorn）
    location / {
        proxy_pass http://127.0.0.1:8000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }

    # 禁止访问敏感目录（可选，额外防护）
    location /logs/ {
        deny all;
    }
    location /users/ {
        deny all;
    }
}

4. 开发环境的安全替代方案

如果开发时需要保持便捷性但又不想暴露文件，可以：

• 保持DEBUG = False，同时使用django-extensions的runserver_plus命令启动服务器，它会更安全地处理静态文件，不会暴露其他本地文件；
• 或者手动限制静态文件的访问路径，只映射/static/到STATIC_ROOT，其他路径由Django正常处理。

额外注意事项 #

• 永远不要在生产环境开启DEBUG = True，哪怕是临时调试；
• 确保服务器文件系统的权限设置合理，比如Django进程只拥有必要的文件访问权限，即使出现漏洞也能降低影响；
• 定期检查项目依赖，避免第三方库引入类似的文件暴露漏洞。

内容的提问来源于stack exchange，提问作者ar2015