Загрузка файлов

Да, старая добрая проблема загрузки файлов. Основная идея загрузки файлов на самом деле довольно проста. Она работает примерно так:

Тег <form> помечен как enctype=multipart/form-data и <input type=file> размещен в этой форме.
Приложение получает доступ к файлу из словаря files объекта запроса.
Используйте метод save() файла, чтобы сохранить файл постоянно где-то в файловой системе.

Вводное руководство

Начнём с очень простого приложения, которое загружает файл в определённую папку загрузки и отображает его пользователю. Давайте посмотрим на код инициализации нашего приложения:

import os
from flask import Flask, flash, request, redirect, url_for
from werkzeug.utils import secure_filename

UPLOAD_FOLDER = '/path/to/the/uploads'
ALLOWED_EXTENSIONS = {'txt', 'pdf', 'png', 'jpg', 'jpeg', 'gif'}

app = Flask(__name__)
app.config['UPLOAD_FOLDER'] = UPLOAD_FOLDER

Итак, сначала нам нужно несколько импортов. Большинство должны быть очевидными, werkzeug.secure_filename() будет объяснено чуть позже. UPLOAD_FOLDER - это место, где мы будем хранить загруженные файлы, а ALLOWED_EXTENSIONS - это набор разрешённых расширений файлов.

Почему мы ограничиваем разрешённые расширения? Скорее всего, вы не хотите, чтобы ваши пользователи могли загружать всё, что угодно, если сервер напрямую отправляет данные клиенту. Таким образом, вы можете убедиться, что пользователи не могут загружать HTML-файлы, которые могут вызвать проблемы с XSS (см. Межсайтовый скриптинг (XSS)). Также убедитесь, что запрещены .php файлы, если сервер их выполняет, но у кого на сервере установлен PHP, да?

Далее функции, которые проверяют, является ли расширение допустимым, загружают файл и перенаправляют пользователя на URL загруженного файла:

def allowed_file(filename):
    return '.' in filename and \
           filename.rsplit('.', 1)[1].lower() in ALLOWED_EXTENSIONS

@app.route('/', methods=['GET', 'POST'])
def upload_file():
    if request.method == 'POST':
        # check if the post request has the file part
        if 'file' not in request.files:
            flash('No file part')
            return redirect(request.url)
        file = request.files['file']
        # If the user does not select a file, the browser submits an
        # empty file without a filename.
        if file.filename == '':
            flash('No selected file')
            return redirect(request.url)
        if file and allowed_file(file.filename):
            filename = secure_filename(file.filename)
            file.save(os.path.join(app.config['UPLOAD_FOLDER'], filename))
            return redirect(url_for('download_file', name=filename))
    return '''
    <!doctype html>
    <title>Upload new File</title>
    <h1>Upload new File</h1>
    <form method=post enctype=multipart/form-data>
      <input type=file name=file>
      <input type=submit value=Upload>
    </form>
    '''

Что же делает функция secure_filename()? Сейчас проблема в том, что есть принцип «никогда не доверяйте пользовательскому вводу». Это также относится к имени файла загружаемого файла. Все данные формы, отправленные пользователем, могут быть поддельными, а имена файлов могут быть опасными. Пока просто запомните: всегда используйте эту функцию для защиты имени файла перед непосредственным сохранением его в файловой системе.

Информация для продвинутых пользователей

Вы заинтересованы в том, что делает функция secure_filename() и в чём проблема, если её не использовать? Представьте, что кто-то отправит следующую информацию в качестве filename вашему приложению:

filename = "../../../../home/username/.bashrc"

Если количество ../ верно, и вы объедините это с UPLOAD_FOLDER, пользователь может получить возможность изменить файл в файловой системе сервера, который он или она не должны изменять. Это требует определённых знаний о том, как выглядит приложение, но поверьте мне, хакеры терпеливы :)

Теперь давайте посмотрим, как работает эта функция:

>>> secure_filename('../../../../home/username/.bashrc')
'home_username_.bashrc'

Мы хотим иметь возможность предоставлять загруженные файлы, чтобы пользователи могли их загрузить. Мы определим представление download_file для предоставления файлов в папке загрузки по имени. url_for("download_file", name=name) генерирует URL для загрузки.

from flask import send_from_directory

@app.route('/uploads/<name>')
def download_file(name):
    return send_from_directory(app.config["UPLOAD_FOLDER"], name)

Если вы используете промежуточное ПО или HTTP-сервер для предоставления файлов, вы можете зарегистрировать конечную точку download_file как build_only, поэтому url_for будет работать без функции представления.

app.add_url_rule(
    "/uploads/<name>", endpoint="download_file", build_only=True
)

Улучшение загрузки

Журнал изменений

Добавлено в версии 0.6.

Итак, как именно Flask обрабатывает загрузки? Ну, он будет хранить их в памяти веб-сервера, если файлы достаточно маленькие, иначе — во временном месте (как возвращается tempfile.gettempdir()). Но как указать максимальный размер файла, после которого загрузка прерывается? По умолчанию Flask с удовольствием примет загрузку файлов с неограниченным объёмом памяти, но вы можете ограничить это, задав параметр конфигурации MAX_CONTENT_LENGTH:

from flask import Flask, Request

app = Flask(__name__)
app.config['MAX_CONTENT_LENGTH'] = 16 * 1000 * 1000

Приведённый выше код ограничит максимальный допустимый объём до 16 мегабайт. Если передаётся файл большего размера, Flask вызовет исключение RequestEntityTooLarge.

Проблема с разрывом соединения

При использовании локального сервера разработки вы можете получить ошибку разрыва соединения вместо ответа 413. Вы получите правильный ответ состояния при запуске приложения с сервером WSGI для производства.

Эта функция была добавлена в Flask 0.6, но может быть реализована и в более старых версиях путём наследования объекта запроса. Для получения дополнительной информации обратитесь к документации Werkzeug по обработке файлов.

Полосы прогресса загрузки

Некоторое время назад многие разработчики имели идею читать входящий файл небольшими частями и хранить прогресс загрузки в базе данных, чтобы клиент мог периодически проверять прогресс с помощью JavaScript. Клиент спрашивает сервер каждые 5 секунд, сколько передано, но это то, что он должен уже знать.

Более простое решение

Сейчас есть лучшие решения, которые работают быстрее и надёжнее. Существуют JavaScript-библиотеки, такие как jQuery, которые имеют плагины для форм, чтобы упростить создание полосы прогресса.

Поскольку общая схема для загрузки файлов почти не меняется во всех приложениях, которые занимаются загрузками, также существуют некоторые расширения Flask, которые реализуют полную механику загрузки, которая позволяет управлять допустимыми расширениями файлов для загрузки.