python http 网络服务器

Question

我在本地网络上为我的家人创建了一个简单的http服务器，当我添加html文件和png图片并尝试查看HTML文件时，我的图像无法加载。
它说：
“图片“http://...:255/header.png”不能因为它包含错误而被显示。”
这是我的一些代码，

        elif self.path.endswith(".bm"):   #our dynamic content
            self.send_response(200)
            self.send_header('Content-type',    'text/html')
            self.end_headers()
            f= open(curdir + sep + self.path)
            ren = self.render(f.read())
            self.wfile.write(ren)
            return
        elif self.path.endswith('.png'):
            print "IMAGE WANTED!"
            self.send_response(200)
            self.send_header('Content-type',    'image/png')
            self.end_headers()
            f = open(curdir + sep + self.path)
            self.wfile.write(f.read())
            return
        elif self.path.endswith('.jpg'):
            print "IMAGE WANTED!"
            self.send_response(200)
            self.send_header('Content-type',    'image/jpeg')
            self.end_headers()
            f= open(curdir + sep + self.path)
            print f.read()
            self.wfile.write(f.read())
            return
        elif self.path.endswith(".esp"):
            self.send_response(200)
            self.send_header('Content-type',    'text/plain')
            self.end_headers()
            self.wfile.write("This Format Is Not Supported Any More, Upgrade To BM Script")
            return

除了 png 和 jpeg 部分之外，它们都可以工作。 BM脚本是我自己制作的，与esp相同，所以没什么

Answer 1

open 的默认模式是 ' r'，代表读取文本数据并在 Windows 上进行自动 EOL 转换。替换 f = open(curdir + sep + self.path); self.wfile.write(f.read()) with

fn = os.path.normpath(os.path.join(curdir, self.path))
if not fn.startswith(abspath + os.path.sep):
    raise Exception('Path traversal attempt')
with open(fn, 'rb') as f:
    self.wfile.write(f.read())

with 语句修复了文件句柄的泄漏。或者（在 Python <2.5 上），您可以手动调用 f.close()。

os.path.join (为此，您可能需要在文件开头导入 os.path）是比字符串连接更清晰的文件名构造机制。检查生成的文件名是否位于您期望的目录中可以防止路径遍历漏洞< /a> 这将允许任何人读取您系统上的所有文件。