如何使用Django限制Media Folder访问？有可行的实现方式吗？

本地开发环境下Django默认处理所有请求包括媒体资源请求，你写的FileResponse逻辑可以正常触发；线上环境通常配置为Nginx/Apache直接响应/media/路径下的所有请求，请求不会转发到Django服务，因此权限校验逻辑完全不生效。

方案1：Web服务器配合X-Sendfile实现（性能最优） #

该方案由Django处理权限校验，文件传输由Web服务器完成，性能远高于直接返回FileResponse，适合绝大多数自建服务器部署场景。

• Nginx配置示例（将Media目录设为内部访问，禁止外部直接请求）：

location /media/ {
    internal;
    alias /your/project/path/media/;
}

• Django侧权限校验视图：

from django.http import HttpResponse
from django.contrib.auth.decorators import login_required

@login_required
def protected_media(request, path):
    # 可在此处添加自定义权限逻辑，例如校验用户是否为文件所属者
    response = HttpResponse()
    response["Content-Type"] = "" # 交由Nginx自动识别文件类型
    response["X-Accel-Redirect"] = f"/media/{path}"
    return response

• urls.py配置：

from django.urls import re_path
from .views import protected_media

urlpatterns += [
    re_path(r"^media/(?P<path>.*)$", protected_media),
]

如果使用Apache作为Web服务器，将X-Accel-Redirect头替换为X-Sendfile头，同时修改Apache配置开启X-Sendfile模块即可。

方案2：使用第三方包django-sendfile2 #

该包封装了不同Web服务器的X-Sendfile逻辑，不需要手动适配服务器差异，使用更加便捷：

• 安装后视图示例：

import os
from django.conf import settings
from django.contrib.auth.decorators import login_required
from sendfile import sendfile

@login_required
def protected_media(request, path):
    full_file_path = os.path.join(settings.MEDIA_ROOT, path)
    # 同样可添加自定义权限校验逻辑
    return sendfile(request, full_file_path)

方案3：对象存储签名访问（适配云存储场景） #

如果线上环境使用OSS、COS等对象存储服务存放媒体文件，不需要走服务器处理资源请求：Django侧仅对已认证用户生成有时效性的签名访问链接，直接返回给前端即可，不占用服务器带宽资源。

内容的提问来源于stack exchange，提问作者Bea