7

Ao estudar Django, a forma típica de se lidar com upload de arquivos era criar uma pasta media no servidor - estabelecendo um MEDIA_ROOT e um MEDIA_URL no settings.py - para onde todo arquivo carregado iria. Nos modelos, um FileField ou ImageField é criado, cujo upload_to é relativo ao MEDIA_ROOT. Em produção, espera-se que o próprio webserver (ex.: Apache) sirva o conteúdo da URL /media, deixando pro Django somente o conteúdo dinâmico.

Até aí tudo bem, o problema é que eu gostaria de restringir o acesso dos arquivos "subidos" aos usuários logados, segundo algum critério de controle de acesso. Qual o meio indicado de se fazer isso? A responsabilidade de fazer esse controle de acesso é do Django ou do Apache? (e se for do Apache, como fazer com que ele faça uso do sistema de permissões do Django?)

Para referência, eis como está o meu virtual host (uso Django 1.4.14):

Alias /media/ /var/www/vhosts/example.com/httpdocs/media/
Alias /static/ /var/www/vhosts/example.com/httpdocs/static/

WSGIDaemonProcess exemplo threads=15 processes=5
WSGIProcessGroup exemplo
WSGIScriptAlias / /var/www/vhosts/example.com/exemplo.wsgi

P.S. Por questões de desempenho, preferiria que nem todo o /media tivesse controle de acesso - o caso de arquivos subidos pelo usuário que são universalmente acessíveis é mais frequente que o caso em que o arquivo é restrito. Eu poderia designar uma subpasta para eles (ex.: /media/restrito) e deixar o Django cuidar dessa pasta, mas não sei como fazer isso somente com o Alias e WSGIScriptAlias. Talvez eu precise do mod_rewrite também, não sei... De todo modo, estou bem perdido, qualquer referência sobre o assunto seria muito bem vinda.

4
  • 1
    Fizemos isso aqui na empresa, da uma lida, espero que ajude. blog.wearefarm.com/2015/02/09/contact-form-uploads Commented 21/05/2015 às 20:05
  • @Vanderson Parece uma solução bem inteligente! Pena que estou usando o Apache, e não o nginx... :( Com um pouco se sorte, talvez o Apache tenha alguma funcionalidade equivalente ao X-Accel-Redirect. Alguém conhece alguma?
    – mgibsonbr
    Commented 21/05/2015 às 23:22
  • 1
    Achei esse link, não sei se resolve, mas parece que sim. francoisgaudin.com/2011/03/13/… Commented 22/05/2015 às 15:09
  • @Vanderson Sim, me parece ser exatamente a mesma funcionalidade. Valeu! Eu ainda teria que resolver a outra metade do problema (fazer com que o modelo guardasse os arquivos subidos numa pasta não acessível) mas já ajudou bastante.
    – mgibsonbr
    Commented 22/05/2015 às 15:35

2 Respostas 2

3
+50

Uma solução que encontrei para servir arquivos (não estáticos) é utilizando X-Sendfile. Basicamente, a view da aplicação (no caso Django), verifica se o usuário está logado e envia o pedido com um cabeçalho (para o Apache ou Nginx) informando que ele está autorizado a fazer o download.

Esse recurso está documentado neste link: http://wiki.nginx.org/X-accel

No Django, settings:

import os
BASE_DIR = os.path.dirname(os.path.dirname(__file__))
DIR_PROTEGIDO = os.path.join(settings.BASE_DIR, 'protegido')

views:

def arquivo(request):  
    # verifica se o usuário está logado        
    arquivo = '.../arquivo.jpg'
    response = HttpResponse()
    response['Content-Type']=''
    response['X-Sendfile']= os.path.join(settings.DIR_PROTEGIDO, arquivo)
    return response

E no Apache:

XSendFile on
XSendFilePath "//arquivos/protegidos"
<Directory "//arquivos/protegidos">
    Order Deny,Allow
    Allow from all
</Directory>

Eu não cheguei a utilizar e não sei se é eficiente, mas pelo que eu li me parece ser uma boa solução para servir arquivos (NÃO estáticos) com autorização prévia, sempre que alguém tentar acessar a URL do arquivo sem o cabeçalho passado pelo Django irá falhar, no caso a view será intermediária nesse processo.

Referências que encontrei:

Solução em Django:

5
  • O fato desses arquivos protegidos estarem dentro do MEDIA_ROOT não é problema não? Essa linha XSendFile on XSendFilePath ... garante que o Apache não vai servir essa subpasta sem o header correspondente? Se a resposta for "sim", então acho que resolveu minha dúvida! (em outras palavras, se /caminho/pro/media for publicamente acessível, mas o valor do XSendFilePath for /caminho/pro/media/protegido, então o Apache vai ou não vai servir /caminho/pro/media/protegido/arquivo caso o header não esteja presente?)
    – mgibsonbr
    Commented 20/06/2015 às 23:30
  • Infelizmente, minha dúvida permanece: nos meus testes, se /media está acessível e eu configuro /media/restrito para usar XSendfile, ele continua servindo os arquivos dentro de /media/restrito mesmo sem os headers. Vou tentar mais um pouco usando rewrite (pra impedir que /media/restrito/... seja acessado diretamente), e ver se mesmo assim o XSendfile consegue enviar o arquivo correto. Se tiver alguma sugestão melhor, agradeço, pois continuo bastante perdido...
    – mgibsonbr
    Commented 24/06/2015 às 10:30
  • @mgibsonbr eu ainda não trabalhei com XSendFile, mas pelo que entendi você deve criar um diretório fora do /media usado pelo Django, e colocar o upload_to para esse diretório externo, assim o usuário não acessaria diretamente o arquivo. Na hora de servir o arquivo de determinado usuário aí a view iria fazer a verificação e enviar a requisição com o cabeçalho.
    – Paulo
    Commented 24/06/2015 às 23:56
  • Alterei a resposta e adicionei um link para uma solução pronta no github. Minha explicação incialmente estava equivocada, pois o comportamento é diferente dos arquivos estáticos.
    – Paulo
    Commented 25/06/2015 às 0:10
  • 1
    Com esse seu novo exemplo no github, acho que caiu a ficha: nos modelos normais (uploads públicos), eu mantenho o upload_to relativo ao MEDIA_ROOT, e nos modelos com controle de acesso eu faço o upload_to relativo a uma outra pasta, protegida, via FileSystemStorage. Para servir os arquivos dessa pasta protegida, eu uso o XSendfile. Parece uma boa estratégia, ainda preciso testar mas estou satisfeito com a resposta. Valeu!
    – mgibsonbr
    Commented 25/06/2015 às 7:39
1

Tenho duas sugestões. A primeira usa mais recursos de servidor e garante mais privacidade, e a segunda, que é usada pelo Facebook para armazenar imagens, tem melhor performance, mas usa padrão de URL aléatório.

CASO 1: Usar linguagem (ou servidor) para restringir acesso de arquivos estáticos baseado em usuário logado

  1. Coloque os arquivos em um local não acessível normalmente, por exemplo, uma pasta acima do seu equivalente ao www ou public_html
  2. Usar sua linguagem de programação, aonde você tem controle total para saber qual usuário está autenticado, para quando uma URL for acessada, ele checa o usuário e, se permitido, lê a imagem privada e expõe ela.

CASO 2: Armazenar imagem em local acessível por qualquer um, porém URL de difícil previsibilidade

  1. Coloque a imagem em um local acessível para qualquer pessoa, porém deve ter uma URL bem complexa.
    1. Não use numero sequencial! .
    2. md5 simples não é suficientemente aleatório, também não use.
  2. Armazene essa URL aleatória e só exiba ela para usuários que você quer que tenham acesso a ela.

Minha recomendação: na dúvida, use o CASO 1. O CASO 2 é interessante apenas em casos mais peculiares, como no Facebook. Outra situação do CASO 2 é permitir acesso a arquivos sem autenticação, apenas com URL enviada por e-mail, comum em emails para boletos de cobrança.

5
  • 1
    Por que “md5 simples não é suficientemente aleatório”? Os ataques a MD5 pressupõem que o adversário pode escolher os dois arquivos a serem hasheados, mas nesse caso o adversário já tem acesso ao arquivo; fraquezas do MD5 só são relevantes se elas permitirem acessar arquivos que o adversário não conhece.
    – user25930
    Commented 20/06/2015 às 22:38
  • 1
    Concordo com o @ctgPi, a vulnerabilidade do MD5 a colisões inviabilizam uma certa classe de aplicações, mas nem todas, de modo que o receio a esse algoritmo é meio infundado (mas SHA-256/512 seria melhor de qualquer forma). De todo modo, eu usaria simplesmente um UUID como parte da URL, não usaria nada em função do conteúdo do arquivo não (do contrário, se um adversário tem um arquivo e quer saber se o mesmo arquivo existe no site, ele poderia testar isso; em que caso prático isso seria relevante, não sei, mas se dá pra fazer sem dar ao adversário esse poder, melhor).
    – mgibsonbr
    Commented 20/06/2015 às 23:01
  • A propósito, obrigado pela resposta, mas minha dúvida é de caráter mais prático mesmo: como fazer essas coisas usando Apache/Django. Estou razoavelmente familiarizado com o CASO 2 (vi isso pela primeira vez no Google Docs), e é o que eu farei caso não tenha solução melhor, e o CASO 1 como você mesmo apontou é relativamente ineficiente (mas por vezes inevitável).
    – mgibsonbr
    Commented 20/06/2015 às 23:06
  • 1
    Para entenderem o porque não usar apenas hash MD5 para obscurecer dados sensíveis, tem o caso da BBOM tecnoblog.net/136476/bbom-falha-que-expoe-dados-dos-usuarios . Ele foi a público logo depois da TelexFree ter mesma falha, só que ela usava ID sequencial e mais óbvio Commented 21/06/2015 às 1:00
  • @EmersonRochaLuiz Bem observado! É mais um motivo pra se usar UUIDs em vez de hashes, pois a gente supõe que o adversário não conhece nada que possa ajudar a adivinhar a URL, mas esse exemplo mostrou que não é sempre o caso (a BBOM fazia o hash da sequência de identificação do boleto, de modo que se você adivinhar a sequência - fácil, pois é sequencial - você pode refazer o hash seja o algoritmo que for). Se não for possível usar um UUID, o ideal então é usar um MAC, e não um hash.
    – mgibsonbr
    Commented 21/06/2015 às 1:15

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .