你如何安全地处理文件上传？

Question

你如何安全地处理文件上传？

Accepted Answer

**文件上传**是一个常见的功能,但也是一个重大的安全风险——恶意文件可能导致代码执行、恶意软件传播或系统泄露。保护上传需要验证文件类型、大小和内容,安全地存储文件,并谨慎地提供这些文件。

## 文件上传的风险

```text
Allowing users to upload files is dangerous if not secured:
  ✗ MALICIOUS executable/script files → could run on the server (e.g. uploading a web
    shell / script that gets executed → server compromise)
  ✗ MALWARE distribution (files served to other users)
  ✗ Oversized files → denial of service (disk/memory exhaustion)
  ✗ Path traversal in filenames (../../) → overwrite system files
  ✗ Files with misleading types/content (a .jpg that's actually a script)
```

## 保护文件上传

```text
✓ VALIDATE file TYPE → check the actual CONTENT/MIME (not just the extension, which lies);
  ALLOWLIST permitted types (don't blocklist); reject everything else
✓ LIMIT file SIZE → prevent resource exhaustion (max upload size)
✓ Don't execute uploads → store OUTSIDE the web root; never serve from an executable
  directory; serve via a handler (not directly executable)
✓ RENAME files (random/generated names) → avoid path traversal and overwrites; sanitize
  filenames
✓ SCAN for malware where appropriate; set correct Content-Type/Content-Disposition when serving
✓ Use separate storage/domain or object storage (S3) for user files; access controls
```

## 为什么这很重要

理解安全的文件上传处理很重要,因为**文件上传是具有重大安全风险的常见功能**,因此安全地处理它们至关重要,这使其成为宝贵的实用安全知识。

允许用户上传文件会带来严重的危险:**恶意可执行文件/脚本文件**可能在服务器上运行(如web shell导致完全服务器泄露——严重风险)、向其他用户传播恶意软件、超大文件造成拒绝服务、**文件名中的路径遍历**(覆盖系统文件)以及具有误导性类型的文件(.jpg实际上是脚本)。

这些使得不安全的文件上传成为一个危险的、常被利用的功能。

理解如何**保护上传**是关键的实用知识:**通过实际内容/MIME验证文件类型**(不仅仅是扩展名,它可能会撒谎)并**白名单**允许的类型、**限制文件大小**(防止资源耗尽)、关键是**不执行上传**(将其存储在web根目录之外,从不在可执行目录中提供——防止危险的代码执行场景)、**使用生成的名称重命名文件**并清理文件名(防止路径遍历和覆盖)、在适当的地方扫描恶意软件、提供时设置正确的content types、以及使用带有访问控制的独立存储(如对象存储)。

这些措施解决了上传的特定风险。

由于文件上传是具有重大、严重风险的常见功能(特别是通过可执行上传导致的服务器泄露)并且保护它们需要特定的措施(类型/大小验证、不可执行存储、重命名、谨慎提供),并且由于理解这一点对于任何具有上传功能的应用程序都至关重要,理解安全的文件上传处理是宝贵的、实用相关的安全知识——对于常见的、风险的文件上传功能很重要,通过特定的防御措施解决严重的漏洞(代码执行、路径遍历、DoS),对于任何构建上传功能的开发人员来说是必要的知识。