Пакет для проверки авторизации пользователя перед доступом к /media/

Установка и настройка

1. Установить пакет в окружение: pip install edu-secure-media Также можно установить m3 расширения: pip install edu-secure-media[m3] и\или drf расширения: pip install edu-secure-media[drf]
2. В основном urls.py расширить urlpatterns

   # Пример использования в ЭШ:
   from edu_secure_media.urls import (
       urlpatterns as secure_urls,
   )
   
   urlpatterns += secure_urls
   

   либо DRF версию

   from edu_secure_media.contrib.drf.urls import  urlpatterns as secure_media_urls
   
   urlpatterns += secure_media_urls
   

3. Добавить в settings.py параметры:

• SECURE_MEDIA_SECRET_KEY
• SECURE_MEDIA_TRUSTED_HOST_PATHS

  # Пример использования:
  SECURE_MEDIA_TRUSTED_HOST_PATHS = conf.get('secure_media', 'trusted_host_paths').replace(' ', '') or ''
  

• SECURE_MEDIA_HASHING_ALG (по умолчанию 'sha1')
• SECURE_MEDIA_DESCRIPTOR_PARAM_NAME (по умолчанию 'desc')
• SECURE_MEDIA_PUBLIC_DESCRIPTOR_NAME (по умолчанию 'Public')
• SECURE_MEDIA_HANDLERS

  # Пример использования с разъяснением в разделе "Параметры SECURE_MEDIA_HANDLERS"
  

• Для django-sendfile:
  • SENDFILE_BACKEND

   # Пример использования для машины разработчика:
   SENDFILE_BACKEND = conf.get('secure_media', 'backend') or 'django_sendfile.backends.development'
  
   # Пример использования для тестовых и production серверов:
   SENDFILE_BACKEND = conf.get('secure_media', 'backend') or 'django_sendfile.backends.nginx'
  

  • SENDFILE_URL

  # Адрес, на который будет перенаправлен запрос в случае, если авторизация прошла успешна. 
  # Адрес не должен заканчиваться слешем. Пример использования:
  SENDFILE_URL = conf.get('secure_media', 'url') or '/protected'
  

  • SENDFILE_ROOT = MEDIA_ROOT

  SENDFILE_ROOT всегда равен MEDIA_ROOT, 
  директория с файлами, для отдачи которых требуется авторизация.
  

4. Для тестовых и production серверов в конфигурационном файле проекта задать параметры

    [secure_media]
    backend = django_sendfile.backends.nginx
    # URL на который будет перенаправляться запрос
    url = /protected

5. Для тестовых и production серверов сконфигурировать NGINX.
   Для url из параметров необходимо задать секцию location в конфигурационном файле NGINX.

Алгоритм обработки запроса на тестовых и production серверах:

Поступает запрос от клиента на URL /media/*. NGINX принимает запрос и передает проксируемому серверу (django, gunicorn). Этот запрос не кэшируется.
Пример конфигурации:

location / {
    proxy_pass http://localhost:8000;
    include proxy_params;
    charset utf-8;
    chunked_transfer_encoding off;
}
location /media/ {
    proxy_pass http://localhost:8000/media/;
    # Не кэшируем запрос на клиенте
    expires -1;
}

Запрос обрабатывается в Django view. Если запрашиваются файлы в /media/public, то они отдаются без каких-либо проверок. Если пользователь не авторизован, то на клиент возвращается json с сообщением. Если пользователь авторизован, то запрос перенаправляется на URL заданный параметром SENDFILE_URL. location для него должен быть задан в конфигурационном файле NGINX

location /protected/ {
    # Обрабатываются внутренние запросы
    internal;
    # Если для nginx используется докер, путь к media должен соответствовать пути, 
    # в который смонтирована директория с медиафайлами.
    alias /home/ivahotin/dev/kinder_conf/media/;
    # Отключаем кеширование в браузере
    expires -1;
}

Параметры SECURE_MEDIA_HANDLERS

# Пример использования в ЭШ:
SECURE_MEDIA_HANDLERS = [
    [
        None,
        'edu_secure_media.handlers.common.check_path_traversal_attack',
    ],
    [
        None,
        'edu_secure_media.handlers.common.allow_host_handler',
    ],
    [
        None,
        'edu_secure_media.handlers.common.allow_prefixes_handler',
        {
            'prefixes': [
                'public/',
            ]
        },
    ],
    [
        None,
        'edu_secure_media.handlers.m3.allow_admin_only_handler',
        {
            'prefixes': [
                'downloads/admin/',
                'uploads/edu_rdm_integration/',
                f'{RDM_COLLECT_LOG_DIR}/'
                f'{RDM_EXPORT_LOG_DIR}/',
            ],
            'join_media_url': True,
        }
    ],
    [
        None,
        'edu_secure_media.handlers.common.allow_authenticated_handler',
    ],
    [
        'Public',
        'edu_secure_media.handlers.common.always_allow_handler',
    ],
    [
        '#/emie_school/*',
        'edu_secure_media.handlers.common.delegate_to_model_handler',
    ],
    [
        '*',
        'edu_secure_media.handlers.common.always_allow_handler',
    ]
]

Список handler'ов определяющих доступность файла по его ссылке.

Каждый элемент списка это список из 3х элементов:

• pattern для сопоставления или None. Если None, то хендлер функция будет вызываться для всех ссылок, иначе только для тех у которых pattern совпадает с дескриптором ссылки. Паттерны сопоставляются модулем fnmatch.
• Путь к хендлер функции, которая будет вызвана
• Словарь именнованных аргуметов для хендлер функции

Хендлеры вызываются по порядку. Каждый handler должен вернуть одно из 4-х значений:

• True - Если доступ разрешается
• False - Если доступ запрещается
• HttpResponse - Если нужно вернуть ответ "как есть"
• None - Если хендлер не смог однозначно нужно дать доступ или нет

Если один из handler'ов возвращает True, False или HttpResponse, обработка прерывается, если же None, то обрабатываются следующие handler'ы.

Запуск тестов

Тесты запускаются через tox. В системе должен быть установлен uv.

Для корректного запуска тестов необходимы следующие значения переменных окружения в системе. Вместо <login> и <password> необходимо подставить данные от УЗ БАРС:

UV_INDEX="internal=http://<login>:<password>@nexus.py.bars.group/repository/pypi-all/simple"
UV_DEFAULT_INDEX="https://pypi.org/simple"
UV_INDEX_STRATEGY=unsafe-best-match
# Для docker 29+
TOX_DOCKER_GATEWAY=localhost

Чтобы не менять значения системных переменных, можно создать .env файл c переменными окружения и запускать команды через python-dotenv.

Установка tox с необходимыми зависимостями:

uv tool install tox --with tox-uv --with m3-tox-docker

Или с использованием python-dotenv:

dotenv run uv tool install tox --with tox-uv --with m3-tox-docker

Запуск тестов:

tox

Через python-dotenv:

dotenv run tox