Загрузка файлов

Вводное руководство

Давайте начнем с очень простого приложения, которое загружает файл в определенную папку загрузки и отображает файл пользователю. Давайте посмотрим на код инициализации нашего приложения:

import os
from flask import Flask, flash, request, redirect, url_for
from werkzeug.utils import secure_filename

UPLOAD_FOLDER = '/path/to/the/uploads'
ALLOWED_EXTENSIONS = {'txt', 'pdf', 'png', 'jpg', 'jpeg', 'gif'}

app = Flask(__name__)
app.config['UPLOAD_FOLDER'] = UPLOAD_FOLDER

Итак, сначала нам нужно несколько импортов. Большинство должны быть очевидными, werkzeug.secure_filename() объяснены чуть позже. UPLOAD_FOLDER — это место, где мы будем хранить загруженные файлы, а ALLOWED_EXTENSIONS — это набор разрешенных расширений файлов.

Почему мы ограничиваем разрешенные расширения? Вероятно, вы не хотите, чтобы ваши пользователи могли загружать все, что угодно, если сервер напрямую отправляет данные клиенту. Таким образом, вы можете убедиться, что пользователи не могут загружать файлы HTML, которые могут вызвать проблемы XSS (см. Переполнение сайтов (XSS)). Также убедитесь, что запрещены файлы .php , если сервер их выполняет, но у кого на сервере установлен PHP, да? :)

Далее функции, которые проверяют, является ли расширение допустимым, загружают файл и перенаправляют пользователя на URL загруженного файла:

def allowed_file(filename):
    return '.' in filename and \
           filename.rsplit('.', 1)[1].lower() in ALLOWED_EXTENSIONS

@app.route('/', methods=['GET', 'POST'])
def upload_file():
    if request.method == 'POST':
        # check if the post request has the file part
        if 'file' not in request.files:
            flash('No file part')
            return redirect(request.url)
        file = request.files['file']
        # If the user does not select a file, the browser submits an
        # empty file without a filename.
        if file.filename == '':
            flash('No selected file')
            return redirect(request.url)
        if file and allowed_file(file.filename):
            filename = secure_filename(file.filename)
            file.save(os.path.join(app.config['UPLOAD_FOLDER'], filename))
            return redirect(url_for('download_file', name=filename))
    return '''
    <!doctype html>
    <title>Upload new File</title>
    <h1>Upload new File</h1>
    <form method=post enctype=multipart/form-data>
      <input type=file name=file>
      <input type=submit value=Upload>
    </form>
    '''

Что же на самом деле делает функция secure_filename()? Сейчас проблема в том, что есть принцип «никогда не доверяйте входным данным пользователя». Это также верно для имени файла загруженного файла. Все отправляемые данные формы могут быть подделаны, а имена файлов могут быть опасными. Пока просто запомните: всегда используйте эту функцию для защиты имени файла перед непосредственным сохранением его на файловой системе.

filename = "../../../../home/username/.bashrc"

>>> secure_filename('../../../../home/username/.bashrc')
'home_username_.bashrc'

Мы хотим иметь возможность обслуживать загруженные файлы, чтобы пользователи могли их загрузить. Мы определим представление download_file для обслуживания файлов в папке загрузки по имени. url_for("download_file", name=name) генерирует URL для скачивания.

from flask import send_from_directory

@app.route('/uploads/<name>')
def download_file(name):
    return send_from_directory(app.config["UPLOAD_FOLDER"], name)

Если вы используете промежуточное ПО или HTTP-сервер для обслуживания файлов, вы можете зарегистрировать конечную точку download_file как build_only, поэтому url_for будет работать без функции представления.

app.add_url_rule(
    "/uploads/<name>", endpoint="download_file", build_only=True
)

Улучшение загрузки

Итак, как именно Flask обрабатывает загрузки? Ну, он будет хранить их в памяти веб-сервера, если файлы достаточно малы, а в противном случае — во временном месте (как возвращается tempfile.gettempdir()). Но как указать максимальный размер файла, после которого загрузка прерывается? По умолчанию Flask с удовольствием примет загрузку файлов с неограниченным объемом памяти, но вы можете ограничить это, установив ключ конфигурации MAX_CONTENT_LENGTH:

from flask import Flask, Request

app = Flask(__name__)
app.config['MAX_CONTENT_LENGTH'] = 16 * 1000 * 1000

Приведенный выше код ограничит максимальный разрешенный объем данных 16 мегабайтами. Если передается файл большего размера, Flask вызовет исключение RequestEntityTooLarge.

Эта функция была добавлена в Flask 0.6, но ее можно реализовать и в более старых версиях, создав подкласс объекта запроса. Для получения дополнительной информации обратитесь к документации Werkzeug по обработке файлов.

Полосы прогресса загрузки

Некоторое время назад многие разработчики думали о чтении входящего файла небольшими частями и сохранении прогресса загрузки в базе данных, чтобы клиент мог опросить прогресс с помощью JavaScript. Клиент спрашивает сервер каждые 5 секунд, сколько было передано, но это то, что он уже должен знать.

Более простое решение

Теперь есть лучшие решения, которые работают быстрее и надежнее. Существуют JavaScript-библиотеки, такие как jQuery, которые имеют плагины для форм, чтобы упростить создание полосы прогресса.

Поскольку общий шаблон для загрузки файлов почти не меняется во всех приложениях, имеющих дело с загрузками, существуют и некоторые расширения Flask, которые реализуют полнофункциональный механизм загрузки, позволяющий контролировать разрешенные расширения файлов для загрузки.