如何通过Django FileField将文件上传至同级Next.js项目的public文件夹

Django默认的存储后端会校验所有上传文件的存储路径是否在MEDIA_ROOT范围内，超出范围的写入操作会直接触发路径遍历拦截，也就是你收到的报错。很多资料提到FileSystemStorage不推荐生产使用，核心原因是未做额外路径安全校验的情况下，直接开放项目外路径写入的风险很高，只要补全安全逻辑，该方案完全可以在生产环境使用。

方案1：自定义安全存储后端（最推荐） #

继承Django原生FileSystemStorage，明确限定允许写入的目标路径，从根源上避免路径遍历风险：

• 第一步在settings.py中配置目标路径和访问URL，优先用绝对路径避免相对路径导致的异常：

import os
from pathlib import Path

# 假设你的项目目录结构为：/opt/service/django项目/ 和 /opt/service/next项目/
BASE_DIR = Path(__file__).resolve().parent.parent
# 定义Next.js public下的存储目录绝对路径
NEXT_PUBLIC_MEDIA_DIR = os.path.abspath(os.path.join(BASE_DIR, '..', 'next项目名', 'public', 'media'))
# 对齐Next.js对外提供的静态资源访问前缀
NEXT_PUBLIC_MEDIA_URL = '/media/'

• 第二步在对应Django应用下新建storage.py，编写自定义存储类：

from django.core.files.storage import FileSystemStorage
from django.core.exceptions import SuspiciousFileOperation
from django.conf import settings
import os

class NextPublicMediaStorage(FileSystemStorage):
    def __init__(self, *args, **kwargs):
        # 强制绑定存储路径和访问URL
        kwargs['location'] = settings.NEXT_PUBLIC_MEDIA_DIR
        kwargs['base_url'] = settings.NEXT_PUBLIC_MEDIA_URL
        super().__init__(*args, **kwargs)
    
    def path(self, name):
        # 强制校验所有文件最终路径都在允许的目录范围内，拦截路径遍历攻击
        full_path = super().path(name)
        if not os.path.abspath(full_path).startswith(os.path.abspath(settings.NEXT_PUBLIC_MEDIA_DIR)):
            raise SuspiciousFileOperation("Illegal file path detected")
        return full_path

• 第三步给需要的FileField指定该存储后端即可：

from django.db import models
from .storage import NextPublicMediaStorage

class YourUploadModel(models.Model):
    # upload_to参数指定存到Next public/media下的子目录，按需修改
    image = models.FileField(storage=NextPublicMediaStorage(), upload_to='upload/')

注意：需要给运行Django进程的系统用户开放NEXT_PUBLIC_MEDIA_DIR的读写权限，否则会触发权限不足报错。

方案2：软链接映射（无需修改代码的备选方案） #

如果不想修改现有上传逻辑，可以用系统软链接打通两个目录：

• 首先创建软链接，将Django的MEDIA_ROOT目录指向Next.js的public对应目录：

# 示例命令，替换为你自己的实际路径
ln -s /opt/service/next项目名/public/media /opt/service/django项目名/media

• 保持Django原生文件存储配置不变即可，所有写入MEDIA_ROOT的文件会自动同步到Next.js的public目录下，原生的路径校验逻辑完全可以正常工作，生产环境可用。

该方案适合旧项目快速适配需求，不需要修改任何业务代码，只要控制好软链接的权限即可。

内容的提问来源于stack exchange，提问作者Dr J