Django-了解X-Sendfile

Question

我一直在做一些有关使用Django使用访问控制下载文件的研究。我的目标是完全阻止对文件的访问，除非由特定用户访问。我读过，使用Django时，X-Sendfile是实现此目的的一种选择方法（基于其他SO问题，等等）。我对在Django中使用X-Sendfile的基本了解是：

1. 用户请求URI以获取受保护的文件
2. Django应用程序根据URL决定返回哪个文件，并检查用户权限等。
3. Django应用返回HTTP响应，其中“ X-Sendfile”标头设置为服务器的文件路径
4. Web服务器找到文件并将其返回给请求者（我假设Web服务器也沿途剥离了“ X-Sendfile”标头）

与直接从Django删除文件相比，X-Sendfile似乎是一种实现受保护下载的更有效方法（因为与Django相比，我可以依靠Nginx来提供文件），但是我有两个问题：

1. 我对X-Sendfile的解释至少抽象地正确吗？
2. 假设我不提供对文件存储目录（例如，don）的常规前端HTTP访问（例如http://www.example.com/downloads/secret-file.jpg），它是否真的安全？不能将其保存在我的public_html目录中）？或者，精通技术的用户可以检查标头等，然后对访问文件（然后分发）的方式进行反向工程吗？
3. 在性能上真的有很大的不同吗？我是否要通过直接从Django提供8b分块下载150Mb文件来停止我的应用程序服务器，还是这不是问题？我问的原因是因为如果两个版本几乎相等，则Django版本将是更可取的，因为我可以使用Python进行处理，例如记录已完成的下载次数，下载的计数带宽等。

提前致谢。

Answer 1

1. 是的，这就是它的工作原理。
2. 确切的实现取决于Web服务器，但是对于Nginx，建议将位置标记为内部，以防止外部访问。
3. Nginx可以异步处理文件，而使用Django时，每个请求需要一个线程，这可能会导致大量并行请求出现问题。

记住要为Nginx发送一个X-Accel-Redirect标头，而不是X-
Sendfile。有关更多信息，请参见http://wiki.nginx.org/XSendfile。