node.js - 安全图像文件上传

Question

我们必须为 Node.js 项目实现一个图像 uploader 。我们使用express.js 作为框架，我们按照此处描述的方式进行操作:http://howtonode.org/really-simple-file-uploads

但我们不确定如何保护此图像 uploader 。到目前为止我们所做的是:

• 检查文件大小
• 检查扩展名和 header
• 重命名文件
• 文件只能通过特殊路径访问，并且不在根文件夹中

这够了吗？我们对以下行感到不太舒服:

    // CHECKING FOR FILESIZE, EXTENSION, HEADERS
    fs.readFile(req.files.displayImage.path, function (err, data) {
        ...
        ...
        ...
        // RENAMING FILE
        // SAVE FILE
        ...
        ...
        ...
    }

这样读取图片可以保存吗？我们担心，req.files.displayImage.path 中可能存在恶意代码。我们是否需要添加更多检查，或者我们的检查是否足够？如果我们使用所描述的代码，我们会为攻击者提供哪些攻击向量？

谢谢你的建议乔茨基

Answer 1

如果您担心在客户端打开评论中发布的恶意图像。尝试在沙盒 iframe 中打开第三方脚本和不受信任的文件，这将保护您的用户。