java - 在文件上传时信任 "Content-Type"

Question

如果我支持我的 REST API 用户上传内容(主要是图像和视频)，那么信任他们声明的 Content-Type 是否安全 (多部分)上传？还是我应该对内容运行某种“媒体类型检测”(例如，使用 Apache Tika)以确保声明的媒体类型与检测到的实际媒体类型相对应？引入这个媒体类型检测步骤是不是我太热心了？

Answer 1

您当然不应该盲目信任 Content-type header 或任何其他 header 。这些东西应该用于告知您有关如何处理请求的决定。因此，Content-type: application/json 应该允许您将消息正文解释为 json 对象 - 然后可能会将这种请求传递给 JSON 反序列化器以将其绑定(bind)到对象。

仅仅因为请求正文包含看起来像其他东西的数据就忽略Content-type header 是错误的。如果请求在内部不一致，那么它应该被拒绝。不发送 Content-type header 是一回事，但 header 错误则完全是另一回事。

因此，您可能想要使用某种自动检测的唯一情况应该是您没有关于内容的合理信息 - Content-Type 非常通用(例如“< em>/") 或根本不存在。在这种情况下，值得决定某种自动检测是否可行或有值(value)。