当前文件上传的安全策略是什么？

Question

当应用程序允许用户上传文件时，应用程序的最佳安全实践是什么？

在我的例子中，我将这些文件同时写入数据库和文件系统。

我检查大小(5 Mb)，并检查允许的mime类型列表。

我还应该想些什么？

Answer 1

我认为

1. 您还需要防止CSRF。
2. 如果允许使用.zip、.rar等合理的文件类型，强烈建议您从asp.net应用程序执行防病毒扫描，可能需要使用命令行接口。
3. 任何上传的文件都将由web服务器拥有。但是它只需要读/写权限，而不需要执行权限。有时，从目录中删除execute权限有助于防止服务器枚举文件。

附加信息这里。