MediaRoot 和 MediaUrl 必须成对配置，缺一不可；文件名需脱敏并校验扩展名；大文件上传需同步调大 Nginx、WSGI 和 Django 三层限制；upload_to 函数必须接收 instance 和 filename 并返回不含 MEDIA_ROOT 的相对路径。
MediaRoot 和 MediaUrl 必须成对配置，缺一不可
只设 MEDIA_ROOT 不设 MEDIA_URL，或反过来，Django 就不会生成可访问的文件 URL。浏览器请求上传后的图片时会 404，但后台保存其实成功了——这最容易让人误以为“上传失败”。
典型错误配置：
DEFAULT_FILE_STORAGE = 'django.core.files.storage.FileSystemStorage' MEDIA_ROOT = '/var/www/myapp/media/' # 忘了 MEDIA_URL！
正确做法：
-
MEDIA_ROOT指向服务器上真实存在的绝对路径（如/opt/myproject/media/），Django 用它存文件 -
MEDIA_URL是 URL 前缀（如/media/），必须以/开头和结尾，且要和 Web 服务器（Nginx/Apache）的静态路由对齐 - 开发时用
django.urls.path补上 media 路由：urlpatterns += static(settings.MEDIA_URL, document_root=settings.MEDIA_ROOT) - 生产环境绝不能靠 Django serve media，必须由 Nginx 直接映射：
location /media/ { alias /opt/myproject/media/; }
文件名不 sanitise 会导致路径遍历或覆盖风险
Django 默认保留原始上传文件名，request.FILES['file'].name 可能是 ../../etc/passwd 或 avatar.jpg 后面拼了空格和控制字符。不做处理直接拼进 os.path.join(MEDIA_ROOT, name)，就可能写到任意目录。
立即学习“Python免费学习笔记（深入）”；
安全做法不是简单删掉点号或斜杠，而是彻底剥离原始名、生成可控文件名：
Django Unfold
下载
提供使用 django-unfold (v0.56+) 构建高级 Django 管理界面的专业指导。当用户提及 django-unfold、unfold admin 等内容时使用此技能。
- 用
uuid.uuid4()或secrets.token_urlsafe(16)生成唯一前缀 - 从原始名提取扩展名：用
os.path.splitext(original_name)[1].lower()，再白名单校验（如只允许.jpg.pdf） - 别信
Content-Type，它由客户端伪造；必须用python-magic或imghdr检查文件头 - 示例：保存时用
f"{uuid4()}_{clean_ext}"，原始名存进数据库字段供展示
大文件上传卡住？重点调三个地方：Web 服务器、WSGI 和 Django
用户传 50MB 文件时前端没反应、Nginx 报 413、Gunicorn 日志卡在 read header——这不是代码问题，是链路里某处默认限制太紧。
逐层检查：
- Nginx：
client_max_body_size 100M;（加在http或server块），还要确认client_body_timeout 300; - Gunicorn：
--timeout 300 --keep-alive 5，避免长上传被杀；--max-requests 1000防内存泄漏 - Django：
DATA_UPLOAD_MAX_MEMORY_SIZE（默认 2.5MB）和FILE_UPLOAD_MAX_MEMORY_SIZE（默认 2.5MB）需同步调大，否则文件还没到磁盘就被截断 - 额外提醒：如果用
StreamingHttpResponse返回上传结果，别在视图里先.read()整个文件，会吃光内存
ModelFileField 的 upload_to 是函数时，参数和返回值有隐含规则
写成 upload_to=my_upload_func 很方便，但很多人不知道 my_upload_func 的签名和返回值会被 Django 严格解析——错一个字符就静默失效，文件全堆在 MEDIA_ROOT 根目录。
必须满足：
- 函数接收两个参数：
instance（当前 Model 实例）和filename（原始文件名，不是路径） - 返回值必须是相对路径字符串，**不含 MEDIA_ROOT 前缀**，也不能以
/开头（否则 Django 会忽略） - 例如想按用户 ID 分目录：
return f"user_{instance.user_id}/avatars/{uuid4()}.jpg" - 注意：
instance此时可能还没 save（比如新建对象），instance.pk是 None，得用instance.user_id这类已知字段
上传路径逻辑越复杂，越建议在 save() 方法里手动控制 field.save()，比依赖 upload_to 函数更可控。
