帮助改进我的文件上传方法（Pyramid框架）

Question

目前，我使用以下方法在 Pyramid 中上传文件（通过 HTML 表单）。

if request.params.get('form.submitted'):

    upload_directory = os.getcwd() + '/myapp/static/uploads/'

    my_file = request.POST.get('thumbnail')
    saved_file = str(upload_directory) + str(my_file.filename)

    perm_file = open(saved_file, 'w')

    shutil.copyfileobj(my_file.file, perm_file)
    my_file.file.close()
    perm_file.close()

我只是想知道，这是保存文件上传的好方法吗？我的方法是否存在安全问题？我还能如何改进我的方法。谢谢。

Answer 1

你会想要使用像 werkzug 的 safe_join而不是仅仅将上传目录添加到给定的文件名中。攻击者可以创建文件名为 ../../../some/important/path 的 POST，并导致此脚本覆盖 upload_directory 之外的某些文件。