用Flask+SQLite搭建匿名反馈与文件分享内部工具

上个月我把团队内部一个很不起眼的小工具重写了一遍，起因是季度复盘时大家都不太愿意实名提意见，而资料分发又总靠网盘链接传来传去，链接一多就乱。我最后只拆了两件事做：一个匿名页，一个文件页。匿名页负责不产生身份压力的意见收集，文件页负责把所有复盘材料、模板、历史记录有条理地分发出去。做完之后我才意识到，这两类需求放在一起，不是页面数量的问题，而是整个产品边界怎么切的问题。

这篇文章就把这个迷你项目的完整拆解过程写出来。我会说明我当时为什么把匿名表达和文件流转做成一套系统里的两个独立模块，也会分享后端的表结构、防刷策略、文件存储规则，以及我用 Flask + SQLite 直接落地的最小版本。适合正在做内部工具、协作类小应用，或者想理解“匿名/审核/分享”这三类功能到底怎么设计的人看。

1. 先别写代码：匿名页与文件页的需求边界

很多人在拿到“匿名页和文件页”这个标题时，第一反应往往是先搭页面、先写上传接口，但我建议反过来，先想清楚匿名和文件这两件事各自的边界在哪里。匿名页的难点不是匿名，而是如何让匿名反馈不至于变成垃圾场；文件页的难点也不是上传下载，而是如何让分享权利可控、文件不泄露。

1.1 为什么把“匿名表达”和“文件流转”放进同一个系统

我当时的实际场景是这样的：季度复盘结束后，团队希望收集一批针对流程的真实意见，尤其是那种当面不好说的话。如果实名填写，内容大概率是指标化、礼貌化的套话，收集不到真正有价值的信息。同时，复盘会上提到的历史资料、表格模板和操作手册，需要让参与的人在一个地方能下载到。

这两个需求看似独立，实际是同一批人、同一个项目周期内发生的。如果我用两个不同工具去承载，参与者要么记不住地址，要么分发材料时又得重新建群、发一遍链接。把匿名页和文件页放到同一个系统里，用户只需要记住一个入口，进入之后根据自己的目的选择“写匿名内容”还是“浏览文件”，交互上成本是最低的。

另外还有一层考虑：匿名内容经常需要引证附件。比如“我建议把上周那份新人指引里第三页的操作流程改掉”，如果匿名页不能挂文件、只能写一段文字，等于让提意见的人再去文件页找一份文件再粘贴下载码，这个转化路径太长了。所以我在匿名表单里保留了“可附加一个文件分享码”的字段，让文本和文件能够打通。

1.2 不要把匿名页做成“匿名社区”

这是我在设计时最想提醒的一点。匿名页天然会让人想到论坛、贴吧、匿问答疑这类产品，但内部工具完全不需要那些能力。一旦你把“所有人能回复匿名内容、能关注某人、能追踪某条匿名帖子的热度”这些需求放进来，系统的性质就变了，你会被迫做内容审核系统、关注关系链、消息通知，复杂度直接上升一个数量级。

我这里做的匿名页只保留了三个操作：提交内容、查看内容、管理员撤回/删除。没有评论、没有点赞、没有私信，更没有让用户之间产生长期关系的机制。原因很简单：匿名收集意见的场景是短周期的，我今天发起一个“复盘意见箱”，下周就结束。用户不需要在这个页面上逗留，也不需要因为匿名产生任何社交沉淀。

这个取舍也直接影响数据库设计。我只需要一张简单的匿名提交表，不需要用户表、关注表、消息表，大大降低了开发和维护成本。

1.3 两个页面的共同底座：先定义清楚“谁负责”

内部工具最怕职责不清，尤其是“谁有权限删除内容”“谁来看后台数据”。匿名页和文件页虽然功能不同，权限逻辑却有共同点：都要有一个管理员视角，但又不能为管理员开发一套完整的后台。

我的做法是分两级权限。第一级是“普通操作”，匿名页的提交和浏览、文件页的上传和下载都是开放给内部成员甚至外部指定对象；第二级是“管理操作”，通过一个独立的 token 或者环境变量指定的管理员链接进入，管理员可以删除不当内容、撤回过期文件。因为这个工具是用 Flask 写的单人项目，我没有接入独立的登录系统，而是用一条随机生成的长地址作为简易后台入口。这个做法在纯内部工具阶段完全够用，真到需要多人管理的时候再升级成正式账号体系也不迟。

2. 整体结构：两个入口、一套数据库

整体结构的决策说起来很简单：匿名页和文件页在路由层分开，在数据层仍然共用同一个 SQLite 数据库。我不推荐一开始就把它们拆成两个独立服务，因为内部工具用户量小、功能边界清晰，单体服务反而是最容易维护的形态。

2.1 路由与模块边界的划分方法

我在 Flask 里设置了一组非常直接的 URL：

• / 是匿名页首页，展示提交入口和历史内容的列表。
• /anon/submit 接收匿名内容的 POST 请求。
• /files 是文件页首页，展示文件列表和上传入口。
• /files/upload 接收文件上传请求。
• /files/<code> 是某个文件的具体下载页。

两个模块的模板文件也完全分开，渲染时互不引用。这样做的好处是，之后如果我觉得匿名页和文件页的负载差异很大，可以独立把一个模块拎出来加上缓存或者迁移到别的服务，代码不需要推倒重写。但反过来，我又让两个页面共享同一个样式文件和同一个顶栏导航，用户不会觉得这是两个割裂的网站，只是一个工具的两个 Tab。

共享数据库连接和共享配置是为了减少重复。config 里放数据库地址、上传目录、允许的文件类型、最大上传大小、匿名内容限长。模板里统一渲染一个 nav 组件，包含匿名页和文件页的入口连接。这样以后我加第三个功能，比如“公告栏”，只需要照葫芦画瓢再加一个 blueprint，改动面很小。

2.2 匿名页和文件页的设计差异对照

这两页虽然共用一个框架，但本质上差异很大，设计时一定要分开考虑。匿名页的内容是动态增长的文本流，生命周期短、安全风险高，比如有人会填乱七八糟的链接或者恶意刷屏；文件页的内容是静态文件，生命周期相对长，安全风险集中在文件类型和下载权限。

我用表格把二者非常显性的差异整理出来放这里，方便对照理解：

这张表帮我在写代码前理清了优先级。匿名页的功夫要花在内容过滤和防刷上，文件页的功夫则要花在类型校验、存储命名和过期清理上。两边如果混在一起做，代码会非常乱，因为你要在一个视图函数里同时判断文本长度和文件大小，逻辑分支一多，后面想改任何一个功能都容易引出新问题。

2.3 为什么匿名记录也要留必要痕迹

这是匿名模块设计时最容易走极端的地方：有些人认为匿名就应该是彻底无痕，服务器不存任何东西；有些人则走向另一个极端，用上传者真实 IP 去建用户画像。我的做法是“用户之间互相匿名，服务端保留最小化的脱敏痕迹”。

我可以明确告诉你，完全不存任何痕迹的方案在真正运营时是灾难，因为一旦出现垃圾内容或者不当发言，你连“同一个来源连续刷了 100 条”都判断不出来。内部工具场景下，匿名是为了消除发言的社交压力，不是为了给恶意行为提供庇护。

我的实现方案是：提交时把 IP 地址加盐后做哈希，数据库里只保存哈希值，不保存真实 IP。这样同一个 IP 连续提交时，你会看到同一个哈希值反复出现，可以按频率封禁；但如果你拿到数据库备份，也无法从哈希值反推出具体是谁。这个方案在技术上并不复杂，一句话就能说明白：用一段随机盐拼上 IP 再走一次 SHA-256，把结果存进去。下面的实操部分会给出具体代码。

3. 核心细节：控制“可匿名”和“可追踪”的程度

这一节我把匿名页和文件页最重要的实现细节拆开讲。代码本身不长，但每行都对应着一层考虑，想直接抄作业的可以从这里开始。

3.1 匿名页的随机身份设计与内容过滤

匿名提交的界面我设计得很简单：一个宽文本框，一个可选填的链接，一个随机生成的游客昵称。游客昵称不是让用户自己填身份，而是为了让内容列表中的不同条目在视觉上可区分，又能避免“所有内容都像同一个人发的”。

这里有一个实用的笨办法：我用四个中文意象词加四位数字生成随机名，比如“林间_4827、北屿_9031、浅川_1284”。效果比“用户12345”这种格式要好很多，能明显降低内容的机器感，又不至于让用户误以为这是登录账号。生成方式就是用 Python 的 secrets.choice 从词库里随机取词、从数字里取四位数字。之所以用 secrets 而不是 random，是因为这个模块设计上偏安全，用于生成暴露给用户的标识时心理上更放心，虽然常规列表场景其实不必过度担心。

内容过滤方面要做三层。第一层是纯文本输出，模板里不渲染用户提交的原始 HTML，避免 XSS 注入，别人贴了脚本也会被原样当作文本展示；第二层是后端限制长度，单条内容不超过 2000 字，提交链接必须是以 http 或 https 开头的地址；第三层是状态审核，新提交内容的状态默认是 1，后台如果发现有问题可以直接改成 2，页面列表就会自动过滤掉状态不为 1 的记录。这套机制三个表字段就完成了：content、link、status。

有一点很多人会忽略：不要在前端用 JavaScript 限制字数就算完了，因为请求可以被绕过直接打到后端接口。必须在 Flask 视图里再次校验。

3.2 文件页最有价值的规则：类型白名单与随机存储名

文件上传模块有几个经典雷区，我全部踩过一遍，先说结论。

第一，不要相信文件扩展名。攻击者把一个可执行文件改名成 .png 上传，如果你只按扩展名判断，就放行了。稳妥的做法是用 Python 的 mimetypes 模块或者读取文件头来判断 MIME 类型，再配合一份白名单。小项目里我采用“扩展名 + MIME 双重校验”的折中方案：前端靠扩展名过滤一部分明显错误，后端用 mimetypes.guess_type 再校验一次，两侧都通过才允许上传。

第二，存储到服务器磁盘时，文件名一定不能用用户提供的原始文件名。否则文件名里带上路径分隔符或者特殊字符，轻则路径错乱，重则路径穿越漏洞。我的做法是保存的时候用 uuid4().hex 生成一个新的随机文件名，原始文件名只存进数据库字段用于展示。

文件过期策略也必不可少。内部工具最大的问题不是刚开始够不够用，而是半年后 uploads 目录悄悄膨胀到几十个 G，平时又没人想到去清理。我给每个文件设置了一个 expire_at 时间，默认 7 天。下载页会显示“此文件将在 2025-xx-xx 后失效”，后台有一个定时清理函数，每次启动服务时扫描一次，把超过过期时间的记录删掉、文件也删掉。这样容量不会无限增长。

3.3 管理链路：不让下载者拥有管理权

文件页的权限设计特别值得留意。文件上传成功后，我生成两个不同的东西：一个是 code，用于让别人下载；另一个是 manage_token，用于让上传者管理自己的文件。下载者访问 /files/<code> 时只能看到下载按钮、文件名、大小和过期时间。上传者则在成功页看到额外的管理链接 /files/<code>/manage?token=<manage_token>，通过这个链接可以删除文件。

为什么要分成两个凭证而不是一个下载码？因为如果下载码和管理权绑定，那么拿到链接的人都能随手删文件。我不希望分享出去的下载页变成一个人人可管理的入口。manage_token 是 32 位随机字符串，它不放在下载页的 HTML 源码里，只出现一次，因此即便页面被搜索收录，管理 token 也不会暴露。

同理，匿名页的管理后台地址也是一个独立的、带随机 UUID 的长路径，平时不会出现在任何页面的链接里。我知道这不是一个严谨的鉴权系统，但对于内部小工具，它足够好用，而且没有把每个人的操作成本抬到需要先注册账号的程度。

3.4 部署层的几个基础设定

这个项目部署起来不复杂，但有几个配置需要提前想清楚。client_max_body_size 必须设置到比允许上传最大值更大，否则 Nginx 会直接拦截大文件上传，返回 413。Flask 的 MAX_CONTENT_LENGTH 也要和 Nginx 的配置保持一致，不然会出现一个允许传、一个拒绝传的奇怪现象。

上传超时也要注意。Nginx 默认的 proxy_read_timeout 是 60 秒，如果传大文件、服务器磁盘又慢，很容易中途断掉。我一般设置为 300 秒。另外要保证 uploads 目录有写权限，并且定期把 SQLite 数据库文件和 uploads 目录一起打包备份。SQLite 做备份时不要直接复制正在写入的数据库文件，最好先用 SQLite 自己的备份命令或者停服复制，这块我在后面的常见问题里还会再讲。

4. 动手实现：Flask + SQLite 最小版本

这里我贴出一套可以直接跑通的代码骨架，把匿名页和文件页的核心接口都覆盖到。项目结构非常小，适合作为后续扩展的基线。

4.1 项目目录与依赖准备

我建议的目录结构如下：

code复制anon_file_svc/
├── app.py
├── config.py
├── models.py
├── requirements.txt
├── uploads/
├── templates/
│   ├── base.html
│   ├── anon_page.html
│   └── file_page.html
└── static/
    └── style.css

requirements.txt 只需要四个依赖：flask、gunicorn。严格来说 gunicorn 在本地调试时不必要，但部署到 Linux 服务器时需要它作为 WSGI 服务。数据库我用 Python 自带的 sqlite3 模块操作，没有引入 SQLAlchemy，进一步减少依赖。

安装命令就是常规的 pip install -r requirements.txt。如果是在自己的电脑上调试，运行 python app.py 就能起来。下面把 config.py 写出来。

python复制# config.py
import os

BASE_DIR = os.path.abspath(os.path.dirname(__file__))

SECRET_KEY = os.environ.get("SECRET_KEY", "please-change-me")
DATABASE = os.path.join(BASE_DIR, "data.db")
UPLOAD_FOLDER = os.path.join(BASE_DIR, "uploads")

# 单文件最大 50MB，根据实际需要调整
MAX_CONTENT_LENGTH = 50 * 1024 * 1024
ALLOWED_EXTENSIONS = {"png", "jpg", "jpeg", "pdf", "txt", "zip", "docx", "xlsx", "csv", "mp4"}
MIME_WHITELIST = [
    "image/png", "image/jpeg", "application/pdf", "text/plain",
    "application/zip", "application/vnd.openxmlformats-officedocument.wordprocessingml.document",
    "application/vnd.openxmlformats-officedocument.spreadsheetml.sheet",
    "text/csv", "video/mp4"
]

# 匿名内容限制
ANON_MAX_LENGTH = 2000

# 内容鉴权盐值
IP_HASH_SALT = "your-random-salt-string"

# 文件默认过期时间（天）
FILE_EXPIRE_DAYS = 7

注意 ALLOWED_EXTENSIONS 和 MIME_WHITELIST 必须同步维护。比如允许 .png，就要允许 image/png，否则会出现扩展名过了、MIME 没过导致的用户困惑。

4.2 数据库建表语句与初始化

数据库操作我没用 ORM，直接写了两条建表语句。匿名表存储文本内容，文件表存储文件元信息。核心表结构如下：

sql复制CREATE TABLE IF NOT EXISTS anon_posts (
    id INTEGER PRIMARY KEY AUTOINCREMENT,
    uuid TEXT NOT NULL UNIQUE,
    nickname TEXT NOT NULL,
    category TEXT DEFAULT 'general',
    content TEXT NOT NULL,
    link TEXT DEFAULT '',
    ip_hash TEXT NOT NULL,
    status INTEGER DEFAULT 1,
    created_at DATETIME DEFAULT CURRENT_TIMESTAMP
);

CREATE TABLE IF NOT EXISTS file_items (
    id INTEGER PRIMARY KEY AUTOINCREMENT,
    code TEXT NOT NULL UNIQUE,
    original_name TEXT NOT NULL,
    stored_name TEXT NOT NULL,
    file_size INTEGER NOT NULL,
    mime_type TEXT NOT NULL,
    download_count INTEGER DEFAULT 0,
    manage_token TEXT NOT NULL,
    expire_at DATETIME,
    created_at DATETIME DEFAULT CURRENT_TIMESTAMP
);

匿名表这里设计的要点在于 ip_hash 不等于真实 IP。正是通过这种方式来反作弊，但内容管理方又无法直接读取明文地址。uuid 是生成后展示给用户和管理员的编号，不在页面展示自增的 id，避免别人通过 id 差值猜测内容数量。文件表里 code 用于公开分享，manage_token 用于管理，两者务必区分开。

初始化函数用一个 get_db() 连接 SQLite，然后顺序执行两次建表语句即可。每次启动时执行一次是个省事的选择，反正 CREATE TABLE IF NOT EXISTS 重复执行没有副作用。

4.3 匿名页的视图函数实现

匿名页的视图函数主要有两个：渲染页面和接收提交。提交接口的完整逻辑包含长度限制、简单链接校验、IP 哈希、生成随机游客名和返回结果。

先给出数据库连接和 IP 哈希的辅助逻辑，它们会被两个模块共用：

python复制# app.py
import sqlite3
import hashlib
import secrets
import os
import time
from datetime import datetime, timedelta
from flask import Flask, request, render_template, abort, send_from_directory, redirect, url_for

import config

app = Flask(__name__)
app.config.from_object(config)
os.makedirs(config.UPLOAD_FOLDER, exist_ok=True)


def get_db():
    conn = sqlite3.connect(config.DATABASE)
    conn.row_factory = sqlite3.Row
    return conn


def init_db():
    with get_db() as db:
        db.execute("""
            CREATE TABLE IF NOT EXISTS anon_posts (...)
        """)
        db.execute("""
            CREATE TABLE IF NOT EXISTS file_items (...)
        """)


def hash_ip(raw_ip):
    data = raw_ip + config.IP_HASH_SALT
    return hashlib.sha256(data.encode("utf-8")).hexdigest()


def random_nickname():
    prefix = secrets.choice(["林间", "北屿", "浅川", "晚风", "静水", "白露"])
    suffix = f"{secrets.randbelow(10000):04d}"
    return f"{prefix}_{suffix}"

注意 hash_ip() 里的 salt 非常关键。如果不加盐直接用 SHA-256，最简单的彩虹表就能把常见地址的哈希还原出来，加了随机盐之后，即使数据库泄漏，攻击者要还原也需要额外做一次爆破，成本完全不同。

接下来是匿名页的两个视图函数：

python复制@app.route("/", methods=["GET"])
def anon_page():
    db = get_db()
    rows = db.execute(
        "SELECT uuid, nickname, content, link, created_at FROM anon_posts "
        "WHERE status = 1 ORDER BY id DESC LIMIT 100"
    ).fetchall()
    return render_template("anon_page.html", rows=rows)


@app.route("/anon/submit", methods=["POST"])
def anon_submit():
    content = (request.form.get("content") or "").strip()
    link = (request.form.get("link") or "").strip()
    if not content:
        return "内容不能为空", 400
    if len(content) > config.ANON_MAX_LENGTH:
        return f"内容不能超过 {config.ANON_MAX_LENGTH} 字", 400
    if link and not (link.startswith("http://") or link.startswith("https://")):
        return "链接需以 http:// 或 https:// 开头", 400

    ip_hash = hash_ip(request.remote_addr or "unknown")
    nickname = random_nickname()
    uid = secrets.token_hex(8)

    with get_db() as db:
        db.execute(
            "INSERT INTO anon_posts (uuid, nickname, content, link, ip_hash) VALUES (?, ?, ?, ?, ?)",
            (uid, nickname, content, link, ip_hash)
        )
    return redirect(url_for("anon_page"))

这里我把请求频率限制省略了，防止正文被干扰，但在生产实践中这个必须加。一个非常简单的方案是准备一个全局字典，记录每个 IP 哈希的最后提交时间，两次提交间隔小于 10 秒就拒绝。只靠这个简单限速，就能挡住绝大多数小规模刷屏。

4.4 文件页的视图函数实现

文件页的逻辑比匿名页稍多，核心是上传、列表、下载、管理删除四个动作。下面把上传和下载这两个最关键的部分展示出来。

python复制import mimetypes
import uuid as uuid_lib


def allowed_file(filename, file_type):
    ext = filename.rsplit(".", 1)[-1].lower() if "." in filename else ""
    if ext not in config.ALLOWED_EXTENSIONS:
        return False
    if file_type not in config.MIME_WHITELIST:
        return False
    return True


@app.route("/files", methods=["GET"])
def file_page():
    db = get_db()
    rows = db.execute(
        "SELECT code, original_name, file_size, download_count, expire_at "
        "FROM file_items WHERE expire_at IS NULL OR expire_at > ? "
        "ORDER BY id DESC LIMIT 200",
        (datetime.now().isoformat(),)
    ).fetchall()
    return render_template("file_page.html", rows=rows)


@app.route("/files/upload", methods=["POST"])
def file_upload():
    f = request.files.get("file")
    if not f or f.filename == "":
        return "没有选择文件", 400

    original_name = os.path.basename(f.filename)
    mime_type = f.mimetype or mimetypes.guess_type(original_name)[0] or "application/octet-stream"
    if not allowed_file(original_name, mime_type):
        return "文件类型不允许", 400

    ext = original_name.rsplit(".", 1)[-1].lower() if "." in original_name else "bin"
    stored_name = f"{uuid_lib.uuid4().hex}.{ext}"
    save_path = os.path.join(config.UPLOAD_FOLDER, stored_name)
    f.save(save_path)

    code = uuid_lib.uuid4().hex[:8]
    manage_token = secrets.token_urlsafe(32)
    expire_at = (datetime.now() + timedelta(days=config.FILE_EXPIRE_DAYS)).isoformat()
    file_size = os.path.getsize(save_path)

    with get_db() as db:
        db.execute(
            "INSERT INTO file_items (code, original_name, stored_name, file_size, mime_type, manage_token, expire_at) "
            "VALUES (?, ?, ?, ?, ?, ?, ?)",
            (code, original_name, stored_name, file_size, mime_type, manage_token, expire_at)
        )
    return f"上传成功，下载地址：/files/{code} ，管理地址：/files/{code}/manage?token={manage_token}"


@app.route("/files/<code>", methods=["GET"])
def file_download(code):
    db = get_db()
    row = db.execute("SELECT * FROM file_items WHERE code = ?", (code,)).fetchone()
    if not row:
        abort(404)
    if row["expire_at"] and row["expire_at"] < datetime.now().isoformat():
        return "文件已过期", 410

    db.execute("UPDATE file_items SET download_count = download_count + 1 WHERE id = ?", (row["id"],))
    db.commit()
    return send_from_directory(
        config.UPLOAD_FOLDER,
        row["stored_name"],
        as_attachment=True,
        download_name=row["original_name"]
    )

这里尤其需要注意 os.path.basename() 这一步。因为浏览器在部分老旧环境下可能提交带完整路径的文件名，如果不清理就直接存档，上传目录里可能出现意想不到的子路径，甚至成为路径穿越漏洞的跳板。另外 send_from_directory 不要自己拼接完整文件路径返回，Flask 提供这个方法就是为了防止目录穿越。

上传接口返回的是一段纯文本信息，没有做成 JSON。个人内部工具这样够用。如果你希望返回 JSON，可以把返回体和前端 fetch 逻辑一起改掉，思路完全一致。

4.5 Nginx 配置参考

部署到服务器上时，我会把 Flask 进程放在 Gunicorn 后面，监听 127.0.0.1:8000，再用 Nginx 反向代理对外。核心配置如下：

nginx复制server {
    listen 80;
    server_name your-domain.example;

    client_max_body_size 60m;
    proxy_read_timeout 300s;

    location / {
        proxy_pass http://127.0.0.1:8000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

Nginx 配置里有个容易踩坑的地方：client_max_body_size 如果不写，默认是 1MB，上传稍微大一点的文件就会返回 413。我设置为 60MB 是因为 Flask 单文件限制是 50MB，得给 File Data 之外的分块和头部预留一点空间。proxy_read_timeout 也同样重要，Gunicorn 同步模式下如果文件上传耗时超过 Nginx 默认的 60 秒，连接会被 Nginx 掐断，你会在前端看到连接重置的错误。

另外要提醒的是，如果你启用了 HTTPS，还要记得在 Nginx 里配置证书与 http 跳转，这部分和普通站点配置一致，不赘述。

5. 常见问题与排障速查

工具上线后大概率会遇到一些奇怪现象，我这里把这类场景下最容易出现的问题和排查路径整理出来，很多坑不是一次踩完的，写下来省得以后重复翻文档。

5.1 有人在匿名页连续刷屏怎么办

匿名页上线后最可能遇到的问题就是同一时间冒出大量重复内容。如果刷屏者不是有意攻击，只是网络波动导致用户重复点击提交按钮，也会造成类似的后果。

我的处理方式有两层。第一层是在前端提交后立刻把按钮置灰并显示“提交中”，防止重复点击；第二层是在后端做一个简单的限速器。后端限速用字典结构就可以，伪代码如下：将 last_anon_time[ip_hash] 存为上一次提交时间，新的提交到达时判断与上一次的间隔，如果小于 10 秒就返回 429。

如果刷屏已经发生，就靠管理后台把 status 改成 2，内容会从页面隐藏。删除操作没有走物理删除，一方面是为了保留审计痕迹，另一方面是 SQLite 的 DELETE 不可逆，万一误删了有效反馈就麻烦。

5.2 上传文件显示 413 或者上传到一半断掉是怎么回事

413 基本可以断定是 Nginx 的 client_max_body_size 没设置或者设置得比文件小。优先检查 Nginx 配置，改完记得重新加载。如果页面提示 500 错误，要去翻 Flask 日志，看是不是写入 uploads 目录时权限不够。

上传到一半断掉通常和 proxy_read_timeout 或者 Gunicorn 的同步 worker 超时设置有关。在本地调试时不容易复现，因为本地回环速度极快，一旦放到公网服务器，上传速度和带宽瓶颈才会暴露出来。把 proxy_read_timeout 调到 300 秒基本能覆盖大多数场景。如果还是要传更大的文件，就要换分片上传方案，这套小代码就不够用了。

5.3 文件下载页能访问，但点击下载却 404 了

这很可能是文件已经被人为从 uploads 目录移除，但数据库里仍保留记录。比如你手动清理上传目录时只删了文件、没有同步删除 file_items 表里的记录，就会出现页面列表还在、下载时 send_from_directory 找不到文件返回 404 的情况。

处理这种问题，最简单的办法是在文件清理脚本里做到同步删除：先查数据库筛出过期记录，删除磁盘文件之后再把数据库记录删除。如果你当前已经出现“僵尸记录”，手写一条 SQL 把那些磁盘文件不存在的记录清掉也可以，或者重启时扫描一遍数据库里的 stored_name，逐个确认对应文件是否存在。

5.4 快速排查速查表

下面这个速查表覆盖了我遇到的绝大多数基础故障，直接按表格逐行排查即可。

排查时建议先看 Flask 日志，再看 Nginx error log，基本能定位 90% 的问题。SQLite 单文件数据库在并发量很小的内部场景下非常稳定，但如果未来同时写请求变多，要提前准备迁移到 PostgreSQL，不要等到数据库文件损坏再救。

6. 从最小工具到可生长的平台

我可以明确地说，这版系统只是从零到一的最小闭环。如果想把它真正变成一个能长期使用的内部工具，至少还有三个方向可以自然生长。

第一是给匿名页加分桶主题。当前所有匿名内容都存在一张表里，只能靠 category 字段大致区分。下一步可以做“主题房间”，一个房间对应一次意见收集活动，每个房间独立 URL、独立列表，互不干扰。这样不同项目组的反馈不会混在一起，管理员按房间查看也更清晰。

第二是给文件页做文件夹和上传者分组。现在文件列表是平铺的，文件多了以后会很难找。加个简单的分类字段，比如“复盘资料、新人模板、项目签字表”，首页按分类筛选，是从体验上提升最明显的功能。上传时可以手动选择分类，也可以自动按扩展名归类。

第三是增加文件审计日志。下载谁下载了、多少人次、什么时候下载的。这类内部文件并不需要像商业资料那么严防死守，但统计下载量能帮你判断哪些模板是高频使用的、哪些内容其实没人看，方便后续归档清理。

我个人的体会是：这种小工具最难的不是写代码，而是坚持不为“万一以后有这个需求”而提前扩容。匿名页与文件页做出来之后，最有人气的反而是那个看上去很普通的文件页，因为团队里每次有人传模板、传工具包时都在用。匿名页则只在复盘季热闹，其余时间基本沉寂，这正好验证了需求本身有不同的爆发周期。如果只盯着匿名流量去设计后台，功能很容易就做臃肿了。

最后分享一个我踩了几次坑才养成的习惯：上线前把整个部署流程从零模拟一遍，包括换一台干净服务器、从 git 拉代码、装依赖、初始化数据库、重启服务，整个过程记录成一份部署清单。不要以为在本地跑通就万事大吉，很多小工具不是代码写崩的，而是部署时漏了哪一步环境配置，等用户真正访问了才发现问题。这份清单留好，下次同类工具再上线时，基本半小时就能完成所有工作。