web開發(fā)文件上傳功能需要注意什么

這篇文章主要介紹“web開發(fā)文件上傳功能需要注意什么”，在日常操作中，相信很多人在web開發(fā)文件上傳功能需要注意什么問題上存在疑惑，小編查閱了各式資料，整理出簡單好用的操作方法，希望對大家解答”web開發(fā)文件上傳功能需要注意什么”的疑惑有所幫助！接下來，請跟著小編一起來學習吧！

 1. 前言

文件上傳在日常開發(fā)中十分常見，但是潛在的安全問題非常容易忽視。一旦開發(fā)中忽視了這些問題，將會引發(fā)系統(tǒng)安全漏洞。

2.  文件上傳開發(fā)的安全建議

通常我們上傳的文件是由客戶端控制的，這種情況下就給了不懷好意人可乘之機。一些危險的可執(zhí)行腳本將有可能被注入服務器中去。因此胖哥總結了以下幾點建議。

文件類型過濾

開發(fā)者應該有一個過濾清單允許上傳的文件類型應僅限于業(yè)務功能所需的文件類型，在沒有允許列表過濾器的情況下，切勿直接接受文件名及其擴展名，同時前端應該對該清單進行說明。這是一個必要的步驟，大多數(shù)開發(fā)者也做得很好。

文件名稱處理

不能使用原始文件名!這是一個容易被忽略的問題。很多開發(fā)者喜歡直接把上傳文件的按照原始文件名進行轉存。

// Spring boot 開發(fā)中不建議使用這個來作為轉存的名稱，你應該生成一個新的名稱來映射此名稱 String originalFilename = MultipartFile.getOriginalFilename();

這樣是不安全的。雖然大部分/\:<>?字符已經被過濾掉，但是. * %  $,這些腳本中的?？鸵廊豢梢员话谖募?，所以不能使用原始文件名，你應該指定一個算法來進行重命名，建議使用一種摘要算法來確定文件名。例如，文件名可以是文件名加上日期的  MD5 哈希。

如果業(yè)務需要原始文件名的話存儲新的命名和原始名稱的映射即可。

摘要校驗

服務端無論上傳、修改還是下載文件都需要進行摘要校驗(MD5、SHA256)，以防止文件和預設的不一致?？蛻舳擞斜匾那闆r下也建議進行摘要校驗。

限制大小

這一點如果使用 Spring 進行開發(fā)的話已經做了限制，如果該限制不滿足業(yè)務需要，可以修改，但是不能移除限制，否則會導致拒絕服務攻擊。

訪問限制

如果不是業(yè)務需要，只有身份驗證和授權的用戶才能使用文件上傳功能。不然你的系統(tǒng)就成了別人的免費圖床。

行為審計

對于安全我們只能被動防御，因此對文件上傳的操作建議有審計日志、而且審計日志不應該受文件系統(tǒng)影響，這樣發(fā)生安全事件時可以快速定位問題。到此，關于“web開發(fā)文件上傳功能需要注意什么”的學習就結束了，希望能夠解決大家的疑惑。理論與實踐的搭配能更好的幫助大家學習，快去試試吧！若想繼續(xù)學習更多相關知識，請繼續(xù)關注億速云網站，小編會繼續(xù)努力為大家?guī)砀鄬嵱玫奈恼拢?/p>