文件上传与存储

为什么文件上传容易出事

很多实现只检查客户端传来的扩展名或 Content-Type，攻击者可以轻易伪装成「图片」上传可执行内容。用户可控的文件名若直接拼进存储路径，还可能触发路径遍历。大文件若全部经应用服务器中转，会占满内存与带宽，拖垮整站。

技能会怎么引导你

本技能以文件上传专家视角工作：默认不信任扩展名，强调用魔数（magic bytes）做真实类型判断；要求明确上传大小上限；对文件名做净化，避免 ../ 一类路径注入。在架构上，它更倾向预签名 URL——客户端直传对象存储，服务端只签发短时凭证，而不是长期代理字节流。

适用边界与注意点

| 问题 | 严重程度 | 应对方向 |
|------|----------|----------|
| 轻信客户端文件类型 | 严重 | 魔数校验 |
| 未限制上传大小 | 高 | 配置大小限制 |
| 用户可控文件名 | 严重 | 净化文件名 |
| 预签名 URL 被共享或缓存 | 中 | 控制签发与分发策略 |

预签名 URL 仍需要合理的过期时间与权限范围；它解决的是流量与职责分离，不能替代服务端对业务规则（谁可以传、传什么）的校验。