HoRain云小助手个人主页 个人专栏: 《Linux 系列教程》《c语言教程》⛺️生活的理想就是为了理想的生活!⛳️ 推荐前些天发现了一个超棒的服务器购买网站性价比超高大内存超划算忍不住分享一下给大家。点击跳转到网站。专栏介绍专栏名称专栏介绍《C语言》本专栏主要撰写C干货内容和编程技巧让大家从底层了解C把更多的知识由抽象到简单通俗易懂。《网络协议》本专栏主要是注重从底层来给大家一步步剖析网络协议的奥秘一起解密网络协议在运行中协议的基本运行机制《docker容器精解篇》全面深入解析 docker 容器从基础到进阶涵盖原理、操作、实践案例助您精通 docker。《linux系列》本专栏主要撰写Linux干货内容从基础到进阶知识由抽象到简单通俗易懂帮你从新手小白到扫地僧。《python 系列》本专栏着重撰写Python相关的干货内容与编程技巧助力大家从底层去认识Python将更多复杂的知识由抽象转化为简单易懂的内容。《试题库》本专栏主要是发布一些考试和练习题库涵盖软考、HCIE、HRCE、CCNA等目录⛳️ 推荐专栏介绍一、基础实现1. 单文件上传2. 多文件上传二、关键优化与安全措施1. 大文件分块处理2. 安全防护(1) 文件类型校验(2) 文件名与路径安全(3) 大小限制三、高级场景1. 混合表单与文件数据2. 存储目录隔离四、常见错误与规避FastAPI 文件上传的核心实现是通过UploadFile类与File参数结合必须安装python-multipart依赖。小文件可直接读入内存但大文件需分块处理以避免内存溢出同时必须实施文件类型白名单校验、大小限制和安全文件名处理否则可能引发高危安全漏洞。一、基础实现1. 单文件上传关键依赖需提前安装python-multipart。核心代码from fastapi import FastAPI, UploadFile, File app FastAPI() app.post(/upload/) async def upload_file(file: UploadFile File(...)): # 读取文件内容小文件适用 contents await file.read() return { filename: file.filename, content_type: file.content_type, size: len(contents) }UploadFile自动处理文件元数据名称、类型、大小避免直接使用bytes File(...)处理大文件因其会将整个文件加载到内存。2. 多文件上传语法将参数类型声明为List[UploadFile]。from typing import List app.post(/upload-multiple/) async def upload_multiple(files: List[UploadFile] File(...)): return [{filename: f.filename} for f in files]注意需通过前端表单的multiple属性或重复字段名如filesfile1.jpgfilesfile2.png提交多个文件。二、关键优化与安全措施1. 大文件分块处理问题直接await file.read()会加载整个文件到内存大文件可能导致服务崩溃。解决方案分块读取并异步写入磁盘。import aiofiles CHUNK_SIZE 1024 * 1024 # 每次读取1MB app.post(/upload-chunked/) async def upload_chunked(file: UploadFile File(...)): save_path f/tmp/uploads/{file.filename} async with aiofiles.open(save_path, wb) as out_file: while chunk : await file.read(CHUNK_SIZE): await out_file.write(chunk) return {saved_path: save_path}必须使用aiofiles等异步库避免阻塞事件循环。2. 安全防护(1) 文件类型校验仅依赖content_type不可靠可被伪造需结合文件头检测ALLOWED_TYPES {image/jpeg, image/png, application/pdf} if file.content_type not in ALLOWED_TYPES: raise HTTPException(400, 不支持的文件类型) # 进一步验证文件头示例检测JPEG起始字节 file.file.seek(0) # 重置文件指针 header await file.read(4) if header[:2] ! b\xFF\xD8: # JPEG文件头特征 raise HTTPException(400, 文件内容与声明类型不符)必须实施双重校验MIME类型 二进制头检测。(2) 文件名与路径安全禁止直接使用file.filename防止路径遍历攻击如../../etc/passwd。解决方案用随机ID如UUID重命名文件。仅保留合法扩展名import re def sanitize_filename(filename: str) - str: ext re.search(r\.([a-zA-Z0-9])$, filename) return f{uuid.uuid4()}.{ext.group(1)} if ext else str(uuid.uuid4())(3) 大小限制网关层限制在Nginx配置client_max_body_size 10m限制10MB。应用层限制app.middleware(http) async def limit_upload_size(request, call_next): if request.method POST and int(request.headers.get(content-length, 0)) 10 * 1024 * 1024: return JSONResponse({detail: 文件大小超过10MB限制}, status_code413) return await call_next(request)三、高级场景1. 混合表单与文件数据同时接收文件和其他表单字段app.post(/upload-with-meta/) async def upload_with_metadata( file: UploadFile File(...), description: str Form(...), # 必须显式使用 Form(...) category: str Form(...) ): return {description: description, category: category, filename: file.filename}关键普通表单字段需用Form(...)显式声明否则FastAPI无法区分来源。2. 存储目录隔离必须将用户上传目录与静态资源物理隔离app.mount(/static, StaticFiles(directorystatic), namestatic) # 项目自有资源 app.mount(/media, StaticFiles(directory/data/uploads), namemedia) # 用户上传文件优势避免部署覆盖、独立配置权限、支持挂载至对象存储。四、常见错误与规避422 错误表单字段未用Form(...)声明或类型校验失败。解决检查参数是否显式标注Form并验证输入格式。内存溢出大文件未分块处理。解决始终对大文件使用分块读取避免一次性read()。安全漏洞未校验文件内容导致恶意文件上传。解决实施白名单校验 文件头检测 目录权限隔离三级防护。413 错误文件超过服务器限制。解决同步配置Nginx与应用层的大小限制前端需提前校验文件大小。❤️❤️❤️本人水平有限如有纰漏欢迎各位大佬评论批评指正如果觉得这篇文对你有帮助的话也请给个点赞、收藏下吧非常感谢! Stay Hungry Stay Foolish 道阻且长,行则将至,让我们一起加油吧