javascript - 识别 JavaScript 中的恶意文件上传

Question

我在 java 脚本中上传文件时遇到问题。举个例子，如果您有客户端验证来检查文件上传的 MIME 类型。任何人都可以将文件重命名为正确的类型，并更改 MIME 类型和上传。所以验证不起作用？例如:在客户端，我正在检查文件是否为 pdf 类型。因此任何人都可以将 exe 文件重命名为 pdf 并上传到服务器。有什么方法可以在客户端验证此类场景吗？

谢谢

Answer 1

不，这对于客户端验证来说是不可能的，因为您无法确定客户端代码是否正在运行。

每个现代浏览器都可以禁用或修改 JavaScript。依靠客户端验证来确保安全是极其糟糕的做法，并且只能用于改进用户体验，例如告诉用户他们选择的用户名已被占用等。

您需要做的是验证服务器上的文件。鉴于您提到了 PDF 文件，我建议您使用一个库来解析它们并验证用户确实上传了有效的 PDF。