Web 安全专题 04｜上传文件：从信任文件名到验证内容

栏目序号：第 4 期/篇

导语
文件上传是许多 Web 应用不可或缺的功能，但同时也是攻击面较大的环节。错误的信任策略往往导致远程代码执行、敏感数据泄露或持久化的 XSS。本文从判断标准、实际步骤和常见误区出发，讨论为何必须验证内容、重命名对象、隔离路径，并限制允许的媒体类型，给出可操作的工程实践建议。

为什么要验证文件内容而非只看文件名或请求头

客户端能控制的字段很多：文件名、Content-Type、扩展名都可以伪造。攻击者会利用这一点把复合型危险负载伪装成无害文件。验证内容是为了确认文件的真实类型和安全属性。判断的边界包括：
- 文件签名（magic bytes）和文件头信息往往更可靠，但也不是万无一失，某些文件可嵌入其他格式或被分块篡改。
- 对媒体文件，解析并重新编码（例如对图片做一次解码再输出为 PNG/JPEG）可以剥离隐蔽的脚本或多余的元数据。
- 对容器或压缩包，必须考虑内部文件类型和路径穿越风险；有时禁止上传压缩包是合理的边界决策。
执行内容验证并非保证无懈可击，而是在现有威胁模型下将风险降到可接受范围，并记录不可识别或可疑样本供进一步分析。

重命名策略与存储对象设计

直接使用用户提交的文件名是不安全的。重命名有几项明确目的：避免路径注入、避免同名覆盖、拆分原始元数据和存储定位。常见做法包括：
- 用不可预测的唯一 ID（UUID、数据库自增 + 随机盐）作为对象名，或在对象名前加上安全前缀与哈希。
- 将文件扩展名由内容检测决定，不盲信用户原始扩展名；在不确定时可省略扩展名或统一使用安全后缀。
- 保留原始文件名作为元数据字段，但不用于文件系统路径或 URL 构建。
存储上，优先使用对象存储（如 S3）或专门的媒体服务，把公共访问和应用内权限分开。对直接托管到静态目录的做法要慎重，必须确保目录不可执行并通过网关控制访问。

路径隔离、权限与交付方式

把上传目录放在 webroot 下并赋予普通权限是常见错误。推荐的边界措施：
- 存储区与应用执行环境隔离，默认无执行权限，文件通过应用层或 CDN 签名 URL 发放。
- 限制文件系统权限，确保上传文件不能被服务器作为可执行文件直接运行；对于 Linux，避免设置可执行位。
- 对于需要在页面上展示的媒体，通过专门的服务端处理器输出，设置正确的 Content-Type、Content-Disposition，确保浏览器不会将文件作为 HTML/脚本直接执行。
- 对访问路径实施权限检查和过期策略，避免长期可预测的公开链接。
路径隔离不仅防止攻击者直接访问敏感文件，还降低了由存储误配置导致的风险。

永远不要信任来自客户端的文件名或 MIME 类型；把它们当作辅助信息，而不是安全决定的唯一依据。

限制允许的媒体类型与识别方法

白名单优于黑名单。设定允许的类型应当基于业务需求，越窄越安全。例如图片服务可只允许 JPEG/PNG/WebP，并在服务器端重新编码与缩放。识别方法有层次：
- 初步检查：文件大小、扩展名及 Content-Type（客户端提供，作为初筛）。
- 二次验证：检查文件头（magic bytes）并用语言或库的解析器对文件做打开/解析尝试。
- 强化策略：对图片执行解码再编码，对文档使用沙箱或转换为安全格式（例如将 Office 转为 PDF 并在隔离环境下处理）。
注意边界情况：SVG 文件本质上是 XML，允许 SVG 需要严密的内容过滤（去掉脚本、外部引用），很多团队选择完全禁止 SVG 输出到公共页面。压缩包、office 文档等复杂格式常包含嵌入代码或宏，必要时考虑禁止或在严格沙箱中拆包检查。

推荐的上传处理流程与实践步骤

下面是一个可操作的顺序，适合作为审查和实现的工程清单：
1. 业务层定义允许的类型和最大尺寸，明确为什么需要某种格式。
2. 接收上传：限制请求大小、时间窗口，拒绝超限请求。
3. 初筛：记录客户端提供的文件名与 Content-Type，计算 SHA-256 或其他哈希用于溯源。
4. 内容检测：读取必要的头部字节验证文件签名，使用成熟库尝试解析（例如图像库、文档解析器）。
5. 安全化处理：对图片解码并重新编码；对文本/HTML做严格的过滤或拒绝；对可执行或容器格式拒绝或拆包检查。
6. 重命名与存储：生成不可预测的对象名并写入隔离存储，保留原始元数据于数据库而不直接用于路径。
7. 设置访问控制：默认私有，必要时通过应用授权或临时签名 URL 授权访问；确保 Content-Type 与 Content-Disposition 正确。
8. 日志与报警：对拒绝、异常文件和边界情况做记录，必要时提交到恶意样本分析流程。
9. 定期审计：检查允许类型清单、第三方库更新和漏洞公告，调整策略。

常见误区与判断失误

• 误区：只检查扩展名或仅依赖浏览器 Content-Type 即可。判断：这两者都可被伪造。
• 误区：允许 SVG 因为是文本且方便缩放。判断：SVG 可包含脚本与外部链接，若必须允许需实现严格清洗。
• 误区：直接把上传目录挂到 webroot 提高效率。判断：这会增加被执行或被直接下载的风险，短期方便可能导致长期隐患。
• 误区：白名单只按 MIME 类型判断。判断：应结合文件签名和实际解析结果；解析失败或异常应视作拒绝或进入人工/沙箱复核流程。
  工程上要做的是权衡业务需求与可承受的风险，不要把复杂性憋在“未来再修”的 backlog。

延伸阅读

• OWASP File Upload Cheat Sheet: https://cheatsheetseries.owasp.org/cheatsheets/File_Upload_Cheat_Sheet.html
• Flask Documentation: https://flask.palletsprojects.com/en/stable/