user服务器上用户生成的文件名所带来的安全风险

Question

文件名本身是否构成安全风险？

我们有一个网络服务器，用户可以上传文件到服务器。这些文件暂时存储在服务器上，然后移动到S3。文件名被记录到我们的MySQL数据库中，并最终包含在我们的CSS服务器生成的HTML中。文件名本身从不改变用户上传的内容。

在安全性方面，是否有任何仅用文件名就可以利用的漏洞？我们应该更改上传内容的文件名，还是简单地存储文件名是安全的？

Answer 1

是的，所有用户控制的输入都会带来潜在的安全风险，不应该被信任。

但是，如果文件名是对应用程序的威胁，则取决于您如何在内部处理文件和文件名。我建议在用户执行文件上传时对文件名进行消毒。

有关测试用例、最佳实践和预防方法，请参阅OWASP的无限制文件上传页面。