镜像文件上传安全性

Question

我正在实施一个项目到我的网站，允许用户上传图像文件(ai，pdf，jpeg，gif，tiff)。我知道这可能是非常危险的，但我想知道我应该采取什么样的安全检查，以确保这些文件不会对我的网站造成任何伤害。

或

我应该使用像dropbox这样的工具来上传我的图片吗？如果我这样做了，是否有可能在我想要的任何时候获得这些图像，以便在浏览器中向用户显示它们？

Answer 1

图像上传很好，因为您知道自己想要什么:一张图像

第一条规则是永远不要信任客户端，所以让用户上传文件(也许你想添加一个上传大小限制)。

其次，您必须确保图像实际上是一个图像，因此

1. 检查文件的mime类型(不要使用文件扩展名，使用真正的mime类型检查，如file外壳命令或适当的库)
2. 要真正确保文件是正常的，请使用GD、ImageMagick等图像库打开并重新处理它，然后将其保存到磁盘(请记住，这需要一些资源！)。这也会过滤掉损坏的图像。

上传的文件通常不会伤害网站本身，但会伤害下载文件的用户。

Answer 2

我在我工作的一个项目中遇到了一个上传文件的部分。一些高级建议来补充sled的答案：

mime类型是基于文件扩展名设置的，所以它没有什么用处(因为文件还没有上传到服务器，mime类型只是扩展名基础上的一个‘猜测’)。

因此，解决方案是：

• 执行内容检查客户端(在发送HTTP之前，您将通过HTTP获取整个文件。在保存到磁盘之前，请检查服务器端。

其他建议：

简单文件扩展名检查(无论是通过文件名还是mime类型)是基本的安全措施，也必须是present.

• Folder权限:不允许执行权限，不允许用户创建新文件夹(因为它可能会创建具有执行permissions).

的子文件夹