在Web后台开发中，经常需要让用户点击文件名后直接在浏览器里看到内容，而不是触发下载。Django作为主流Python Web框架，可以通过控制HTTP响应头轻松实现Excel、DOCX和PDF的浏览器内联预览。这三种格式本质都是二进制文件，差别主要在于Content-Type的声明以及浏览器自身的解码能力。
一、内联预览的核心原理
浏览器是否下载文件，由响应头中的Content-Disposition决定。当值为attachment时，浏览器会下载；当值为inline时，浏览器会尝试在当前页面或标签页内渲染。配合正确的Content-Type，浏览器才能识别文件格式并调用对应的预览组件。
在Django中，我们通常使用HttpResponse或FileResponse返回文件内容。FileResponse基于流式读取，更适合大文件，它能自动处理文件迭代并且支持范围请求。不过无论用哪种响应对象，都必须手动设置Content-Type与Content-Disposition，因为Django不会根据文件扩展名自动推断这些头信息。
1.1 常见文件MIME类型对照
下面列出本文涉及格式的标准MIME类型，写错类型是导致预览失败的首要原因：
| 文件格式 | 扩展名 | Content-Type |
|---|---|---|
| application/pdf | ||
| Word文档 | .docx | application/vnd.openxmlformats-officedocument.wordprocessingml.document |
| Excel新格式 | .xlsx | application/vnd.openxmlformats-officedocument.spreadsheetml.sheet |
| Excel老格式 | .xls | application/vnd.ms-excel |
注意xls与xlsx的MIME完全不同，若后端存的是xlsx却返回ms-excel，Chrome会提示文件损坏。因此视图里最好根据真实扩展名映射类型，而不是写死。
二、PDF的内联预览实现
PDF是三种格式里最省事的，因为几乎所有现代浏览器都内置了PDF阅读器。只要响应头正确，文件就会直接展现。下面示例从Django媒体目录读取一个PDF并返回内联响应。
import os
from django.http import FileResponse
from django.conf import settings
def preview_pdf(request, filename):
# 拼接媒体文件路径，生产环境应做权限校验
file_path = os.path.join(settings.MEDIA_ROOT, 'docs', filename)
if not os.path.exists(file_path):
from django.http import Http404
raise Http404('文件不存在')
# FileResponse自动以二进制流式返回
resp = FileResponse(open(file_path, 'rb'))
resp['Content-Type'] = 'application/pdf'
# inline表示内联，filename仅作提示
resp['Content-Disposition'] = 'inline; filename="%s"' % filename
return resp
上面的代码使用了FileResponse，它会在响应结束后自动关闭文件句柄，比手动开HttpResponse读全部内容更优雅。如果文件较大，这种流式方式也不会占用过多内存。
需要提醒的是，某些浏览器插件或公司策略会强制PDF下载。此时前端无法单方面解决，只能确认响应头确实为inline且类型无误，然后引导用户检查浏览器设置。后端能做的就是把头信息写标准。
三、DOCX的内联预览处理
DOCX并没有像PDF那样被浏览器原生支持。Chrome和Edge在Windows下可能调用Office的在线视图，但很多环境下会直接下载。要让DOCX内联，思路同样是设置正确的Content-Type与inline，但成功率依赖客户端。
import os
from django.http import HttpResponse
from django.conf import settings
def preview_docx(request, filename):
file_path = os.path.join(settings.MEDIA_ROOT, 'docs', filename)
with open(file_path, 'rb') as f:
content = f.read()
resp = HttpResponse(content)
resp['Content-Type'] = 'application/vnd.openxmlformats-officedocument.wordprocessingml.document'
resp['Content-Disposition'] = 'inline; filename="%s"' % filename
return resp
这段代码把文件一次性读入内存，适合几MB以内的文档。若文档很大，建议换用FileResponse避免内存峰值。另外，Safari对DOCX的inline支持较弱，往往还是会下载，这是浏览器自身限制，并非Django配置问题。
如果业务强依赖DOCX在线查看，更稳妥的方案是后端用python-docx提取文本，或用第三方服务转成PDF再走PDF预览通道。纯靠响应头实现DOCX内联，只能作为基础能力，不能保证全平台一致。
四、Excel文件的内联预览
Excel分为xls和xlsx，前面提到MIME不同。下面示例根据扩展名动态选择类型，避免错配。
import os
from django.http import FileResponse
from django.conf import settings
def preview_excel(request, filename):
file_path = os.path.join(settings.MEDIA_ROOT, 'sheets', filename)
ext = os.path.splitext(filename)[1].lower()
if ext == '.xlsx':
mime = 'application/vnd.openxmlformats-officedocument.spreadsheetml.sheet'
elif ext == '.xls':
mime = 'application/vnd.ms-excel'
else:
from django.http import HttpResponseBadRequest
return HttpResponseBadRequest('不支持的表格类型')
resp = FileResponse(open(file_path, 'rb'))
resp['Content-Type'] = mime
resp['Content-Disposition'] = 'inline; filename="%s"' % filename
return resp
和DOCX类似，浏览器对Excel内联的支持也有限。Chrome一般不会渲染表格内容，而是启动下载或调用Google DocsViewer（需联网）。因此Excel内联更多用于“尝试预览，失败则下载”的兼容策略。
若希望用户真正在网页里看表格，推荐用openpyxl读取数据，然后前端用表格组件展示，或者借助SheetJS等库在客户端解析。直接依赖浏览器内联Excel，体验并不稳定。
五、静态文件与权限控制建议
上述例子都从MEDIA_ROOT读取，适用于用户上传文件。如果是项目内的静态模板文件，应通过白名单限制目录穿越，避免用户传入../../etc/passwd这类路径。实际项目中，预览视图前务必加上登录校验或对象级权限检查。
from django.contrib.auth.decorators import login_required
@login_required
def preview_pdf(request, filename):
# 仅登录用户可访问，再叠加业务权限判断
if not request.user.has_perm('docs.view_document'):
from django.http import HttpResponseForbidden
return HttpResponseForbidden('无权限')
# 其余逻辑同上
通过装饰器约束入口，再在视图内部做细粒度判断，可以有效防止敏感文件被匿名内联预览。同时，生产环境应由Nginx对媒体文件做X-Sendfile或内部重定向，Django只负责鉴权，不亲自吞吐大文件，这样性能更优。
总体来看，Django实现三类文件内联预览并不复杂，难点不在框架而在浏览器兼容性。PDF可放心使用，DOCX与Excel建议作为增强能力，并准备降级方案，才能覆盖大多数用户的真实环境。