最可控方式是在模型或表单字段的validators中添加自定义FileSizeValidator类，通过校验file.size（字节）与阈值比较实现后端主动拒绝；需配合Nginx的client_max_body_size做双重防护，避免仅依赖前端、HTTP头或settings配置。
怎么在 Django 中限制上传文件大小
直接在模型字段或表单字段上加 validators 是最可控的方式，Django 本身不拦截超大请求体，光靠前端或 Nginx 限流会绕过校验，必须后端主动拒绝。
常见错误是只改 DATA_UPLOAD_MAX_MEMORY_SIZE 或 FILE_UPLOAD_MAX_MEMORY_SIZE，这两个设置管的是「内存缓存阈值」，不是文件大小上限——超大的文件仍可能被写入临时目录，甚至触发磁盘爆满。
-
MAX_UPLOAD_SIZE不是 Django 内置配置项，别在settings.py里瞎找 - 真正起作用的是自定义
FileExtensionValidator或手写FileSizeValidator - 校验必须放在
models.FileField或forms.FileField的validators参数里，否则不生效
写一个简单的 FileSizeValidator 类
继承 ValidationError 并重写 __call__，核心是读取 file.size（单位字节），和阈值比对。注意：这个对象会在表单 clean 阶段执行，此时文件已上传但尚未保存，file.size 可靠。
from django.core.exceptions import ValidationError
<p>class FileSizeValidator:
def <strong>init</strong>(self, max_size_mb=5):
self.max_size_bytes = max_size_mb <em> 1024 </em> 1024</p><pre class="brush:php;toolbar:false;">def __call__(self, file):
if file.size > self.max_size_bytes:
raise ValidationError(f"文件大小不能超过 {self.max_size_mb} MB")
立即学习“Python免费学习笔记（深入）”；
提供使用 django-unfold (v0.56+) 构建高级 Django 管理界面的专业指导。当用户提及 django-unfold、unfold admin 等内容时使用此技能。
用法示例：
- 模型中：
attachment = models.FileField(validators=[FileSizeValidator(max_size_mb=2)]) - 表单中：
file = forms.FileField(validators=[FileSizeValidator(10)])
⚠️ 注意：不要在 __init__ 里硬编码 self.max_size_mb 却没在 __call__ 中使用它，上面示例里漏写了属性赋值，实际应补上 self.max_size_mb = max_size_mb，否则报错信息里的数字会是默认值。
为什么不能只依赖 request.META.get('CONTENT_LENGTH')
这个值容易被伪造，HTTP Header 不可信；而且分块上传（如 tus、Dropzone）或带额外 multipart 字段时，CONTENT_LENGTH 包含整个请求体，不是单个文件大小。
- Django 表单解析后，每个
UploadedFile实例才有真实.size - 中间件或装饰器里读
CONTENT_LENGTH只能粗筛，无法区分多文件场景 - 如果用
request.FILES.getlist()，必须对每个 item 单独校验，不能只 check 第一个
配合 Nginx 和 Django settings 做双重防护
单纯靠 Python 校验不够，大文件上传会先卡在 Web 服务器层。Nginx 必须设 client_max_body_size，否则请求根本进不到 Django。
- Nginx 配置加一行：
client_max_body_size 10M;（建议略大于你 Python 里设的max_size_mb） - Django
settings.py中确保：DATA_UPLOAD_MAX_MEMORY_SIZE = 2621440（2.5MB，默认 2.5MB，够用） - 避免调高
FILE_UPLOAD_MAX_MEMORY_SIZE到几十 MB，否则小文件也全进内存，浪费资源
真正难处理的是用户拖拽一个 500MB 视频却只校验了前几 MB 的情况——这时候得上分片上传 + 后端预签名或 token 校验，单靠 FileSizeValidator 已经撑不住了。
